CVE-2026-103977
FileRise: La limitación de tasa de TOTP con alcance de sesión permite intentos de verificación repetidos
- Publicado
- 14 oct 2026
- Actualizado
- 14 oct 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 3 oct 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:NBajo · próximos 30 días
- Percentil
- 37,5 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
FileRise es un gestor de archivos autohospedado basado en web con carga de múltiples archivos, edición y operaciones por lotes. Antes de 3.23.0, FileRise almacena los intentos fallidos de verificación TOTP en $_SESSION. Un atacante que ya posee una credencial primaria válida de una cuenta objetivo puede reiniciar el flujo de inicio de sesión en una nueva sesión y restaurar el margen de intentos del segundo factor, lo que permite continuar adivinando el TOTP en línea más allá del límite previsto de cinco intentos. Los controladores de TOTP de inicio de sesión pendiente no compartían un límite duradero a nivel de cuenta. Este problema se ha corregido en la versión 3.23.0.
Fuentes
- CVE-2026-103977Informativo
Límite de tasa TOTP con alcance de sesión permite intentos de verificación repetidos
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.