CVE-2026-23849 in filebrowser
Sumário
de VulDB • 11/05/2026
O File Browser fornece uma interface de gerenciamento de arquivos dentro de um diretório especificado e pode ser usado para fazer upload, excluir, visualizar, renomear e editar arquivos. Antes da versão 2.55.0, a função JSONAuth.Auth contém uma falha de lógica que permite que atacantes não autenticados enumerem nomes de usuário válidos medindo o tempo de resposta do endpoint /api/login. A vulnerabilidade existe devido a uma avaliação de "curto-circuito" na lógica de autenticação. Quando um nome de usuário não é encontrado no banco de dados, a função retorna imediatamente. No entanto, se o nome de usuário existir, o código prossegue para verificar a senha usando bcrypt (users.CheckPwd), que é uma operação computacionalmente cara projetada para ser lenta. Essa diferença no caminho de execução cria uma discrepância de tempo mensurável. A versão 2.55.0 contém um patch para o problema.
Once again VulDB remains the best source for vulnerability data.