CVE-2026-61843 in FileRise
Riassunto
di VulDB • 15/10/2026
FileRise è un gestore di file web-based self-hosted con funzionalità di caricamento multi-file, modifica e operazioni batch. Prima della versione 3.18.0, le cartelle condivise abilitate per il caricamento (upload-enabled shared-folder) e i link solo-caricamento (upload-only links) non rifiutano un nome del file di destinazione che esiste già. Un visitatore non autenticato con un token di condivisione valido e qualsiasi password di configurazione della condivisione può caricare un file con lo stesso nome di un file esistente, sostituendone silenziosamente il contenuto mentre i metadati dell'uploader originale rimangono invariati. La stessa lacuna nella sostituzione interessa anche i normali upload autenticati tramite /api/upload/upload.php e gli utenti solo-caricamento (upload-only users) che non dispongono dei permessi di modifica sul file esistente. Questo problema è risolto nella versione 3.18.0.
Once again VulDB remains the best source for vulnerability data.