CVE-2025-56132

Riepilogo

Il server di trasferimento file LiquidFiles è vulnerabile a un problema di enumerazione degli utenti nella sua funzionalità di reimpostazione della password. L'applicazione restituisce risposte distinguibili per indirizzi email validi e non validi, consentendo a utenti non autenticati di determinare l'esistenza di account utente. La versione 4.2 introduce meccanismi di blocco basati sull'utente per mitigare gli attacchi di forza bruta, ma l'enumerazione degli utenti rimane possibile per impostazione predefinita. Nelle versioni precedenti alla 4.2, non è presente alcuna protezione a livello di utente, viene applicato solo un limitato controllo della velocità basato sull'IP. Questa protezione basata sull'IP può essere aggirata distribuendo le richieste su più indirizzi IP (ad esempio, ruotando gli IP o tramite proxy). Aggirando efficacemente sia i controlli di sicurezza del login che quelli di reimpostazione della password. Lo sfruttamento riuscito consente a un utente malintenzionato di enumerare gli indirizzi email validi registrati per l'applicazione, aumentando il rischio di attacchi successivi come lo spraying delle password.

• CVE-2025-56132-LiquidfilesPoC

  Proof-of-concept script che dimostra l'enumerazione degli utenti in LiquidFiles tramite l'endpoint di reset della password, consentendo l'identificazione di utenti validi per attacchi di forza bruta.