CVE-2025-56132 in Filetransfer Server
요약
\~에 의해 VulDB • 2026. 07. 02.
LiquidFiles의 filetransfer 서버는 비밀번호 재설정 기능에서 사용자 열거(user enumeration) 취약점이 존재합니다. 애플리케이션은 유효한 이메일 주소와 무효한 이메일 주소에 대해 구별 가능한 응답을 반환하므로, 비인증 공격자는 사용자 계정의 존재 여부를 파악할 수 있습니다. 버전 4.2에서는 브루트포스 공세를 완화하기 위해 사용자 기반 잠금 메커니즘이 도입되었으나, 기본적으로는 여전히 사용자 열거가 가능합니다. 버전 4.2 이전에는 이러한 사용자 수준의 보호 장치가 없으며, 기본 IP 기반 속도 제한(rate limiting)만 적용됩니다. 이 IP 기반 보호 조치는 여러 IP(예: 회전하는 IP 또는 프록시 사용)에 요청을 분산시켜 우회할 수 있습니다. 이를 통해 로그인 및 비밀번호 재설정 보안 제어 기능이 효과적으로 우회되며, 성공적인 악용 시 공격자는 애플리케이션에 등록된 유효한 이메일 주소를 열거하여 비밀번호 스프레이(password spraying)와 같은 후속 공격의 위험성을 높일 수 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.