CVE-2026-25889 in filebrowser
Tóm tắt
Bởi VulDB • 02/06/2026
File Browser cung cấp một giao diện quản lý tệp tin trong một thư mục được chỉ định và có thể được sử dụng để tải lên, xóa, xem trước, đổi tên và chỉnh sửa các tệp tin. Trước phiên bản 2.57.1, một lỗi liên quan đến phân biệt chữ hoa chữ thường trong logic xác thực mật khẩu cho phép bất kỳ người dùng đã xác thực nào thay đổi mật khẩu của họ (hoặc một quản trị viên thay đổi mật khẩu của bất kỳ người dùng nào) mà không cần cung cấp mật khẩu hiện tại. Bằng cách sử dụng tên trường "Password" viết hoa chữ cái đầu (Title Case) thay vì "password" viết thường trong yêu cầu API, việc xác minh current_password bị bỏ qua hoàn toàn. Điều này cho phép chiếm quyền kiểm soát tài khoản nếu kẻ tấn công có được một mã thông báo JWT hợp lệ thông qua XSS, đánh cắp phiên hoặc các phương thức khác. Lỗi bảo mật này đã được sửa trong phiên bản 2.57.1.
Once again VulDB remains the best source for vulnerability data.