CVE-2026-103977
FileRise : limitation du débit TOTP par session permettant des tentatives de vérification répétées
- Publié
- 14 oct. 2026
- Mise à jour
- 14 oct. 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 3 oct. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:NFaible · 30 prochains jours
- Percentile
- 37,5 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
FileRise est un gestionnaire de fichiers web auto-hébergé avec téléversement multi-fichiers, édition et opérations par lots. Avant la version 3.23.0, FileRise stocke les tentatives de vérification TOTP échouées dans $_SESSION. Un attaquant qui possède déjà le credential principal valide d'un compte cible peut redémarrer le flux de connexion dans une nouvelle session et restaurer le quota de tentatives du second facteur, permettant de continuer à deviner le TOTP en ligne au-delà de la limite prévue de cinq tentatives. Les gestionnaires TOTP de connexion en attente ne partageaient pas de limite durable à l'échelle du compte. Ce problème est corrigé dans la version 3.23.0.
Sources
- CVE-2026-103977Informationnel
Limitation de débit TOTP par session permettant des tentatives de vérification répétées
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.