CVE-2025-56132

概要

LiquidFiles filetransfer サーバーは、パスワードリセット機能においてユーザー列挙の問題に対して脆弱です。このアプリケーションは、有効なメールアドレスと無効なメールアドレスに対して区別可能な応答を返すため、認証されていない攻撃者がユーザーアカウントの存在を特定できるようになります。バージョン 4.2 ではブルートフォース攻撃を軽減するためのユーザーベースのロックアウトメカニズムが導入されていますが、ユーザー列挙はデフォルトで引き続き可能です。4.2 より前のバージョンでは、このようなユーザーレベルの保護は導入されておらず、基本的な IP ベースのレート制限のみが適用されています。この IP ベースの保護は、複数の IP にリクエストを分散させること（例：IP のローテーションやプロキシの使用）で回避できます。これにより、ログインとパスワードリセットの両方のセキュリティ制御が効果的に回避されます。攻撃に成功すると、攻撃者はアプリケーションに登録されている有効なメールアドレスを列挙でき、パスワードスプレーなどの後続攻撃のリスクが高まります。

• CVE-2025-56132-LiquidfilesPoC

  LiquidFilesのパスワードリセットエンドポイントを介したユーザー列挙を実証する概念実証スクリプトで、ブルートフォース攻撃のための有効なユーザー特定を可能にします。