CVE-2026-25889 in filebrowser
要約
〜によって VulDB • 2026年06月01日
File Browserは、指定されたディレクトリ内でファイル管理インターフェースを提供し、ファイルのアップロード、削除、プレビュー、リネーム、編集に使用できます。バージョン2.57.1より前では、パスワード検証ロジックにおける大文字小文字の区別に関する欠陥により、現在のパスワードを提供せずに、認証済みユーザーが自身のパスワードを変更したり、管理者が任意のユーザーのパスワードを変更したりすることが可能でした。APIリクエストにおいて小文字の「password」ではなく、タイトルケースのフィールド名「Password」を使用することで、current_passwordの検証が完全に回避されます。これにより、攻撃者がXSS、セッションハイジャック、またはその他の手段を通じて有効なJWTトークンを取得した場合、アカウント乗っ取りが可能になります。この脆弱性は2.57.1で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.