CVE-2026-103977
FileRise: Sitzungsbezogene TOTP-Ratenbegrenzung erlaubt wiederholte Verifizierungsversuche
- Veröffentlicht
- 14.10.2026
- Aktualisiert
- 14.10.2026
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 03.10.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:NZusammenfassung
FileRise ist ein selbstgehosteter webbasierter Dateimanager mit Multi-Datei-Upload, Bearbeitung und Batch-Operationen. Vor 3.23.0 speichert FileRise fehlgeschlagene TOTP-Verifizierungsversuche in $_SESSION. Ein Angreifer, der bereits über gültige primäre Anmeldedaten eines Zielkontos verfügt, kann den Anmeldeablauf in einer neuen Sitzung neu starten und das Versuchskontingent für den zweiten Faktor zurücksetzen, wodurch fortgesetztes Online-TOTP-Raten über das vorgesehene Limit von fünf Versuchen hinaus ermöglicht wird. Die Pending-Login-TOTP-Handler teilten kein dauerhaftes kontoweites Limit. Dieses Problem ist in Version 3.23.0 behoben.
Quellen
- CVE-2026-103977Informativ
Sitzungsbezogene TOTP-Ratenbegrenzung erlaubt wiederholte Verifizierungsversuche
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.