CVE-2025-56132

Résumé

Le serveur de transfert de fichiers LiquidFiles est vulnérable à un problème d'énumération d'utilisateurs dans sa fonctionnalité de réinitialisation de mot de passe. L'application renvoie des réponses distinctes pour les adresses e-mail valides et invalides, permettant à des attaquants non authentifiés de déterminer l'existence de comptes utilisateurs. La version 4.2 introduit des mécanismes de verrouillage basés sur l'utilisateur pour atténuer les attaques par force brute, mais l'énumération des utilisateurs reste possible par défaut. Dans les versions antérieures à 4.2, aucune protection de ce type au niveau utilisateur n'est en place, seule une limitation de débit basée sur l'adresse IP est appliquée. Cette protection basée sur l'IP peut être contournée en répartissant les requêtes sur plusieurs adresses IP (par exemple, en faisant pivoter les IP ou en utilisant des proxys), contournant ainsi efficacement les contrôles de sécurité de connexion et de réinitialisation de mot de passe. Une exploitation réussie permet à un attaquant d'énumérer les adresses e-mail valides enregistrées pour l'application, augmentant ainsi le risque d'attaques de suivi telles que le bourrage de mots de passe.

• CVE-2025-56132-LiquidfilesPoC

  Script de preuve de concept démontrant l'énumération d'utilisateurs dans LiquidFiles via le point de terminaison de réinitialisation de mot de passe, permettant l'identification d'utilisateurs valides pour des attaques par force brute.