CVE-2026-103977
높음게시됨
FileRise: 세션 범위 TOTP 속도 제한으로 반복적인 검증 시도 허용
- 게시됨
- 2026. 10. 14.
- 업데이트됨
- 2026. 10. 14.
- CNA 할당 중
- GitHub_M
- 증거 관찰됨
- 2026. 10. 3.
기본 CVSS
8.1/ 10높음
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N요약
FileRise는 다중 파일 업로드, 편집 및 일괄 작업을 지원하는 자체 호스팅 웹 기반 파일 관리자입니다. 3.23.0 이전 버전에서 FileRise는 실패한 TOTP 검증 시도를 $_SESSION에 저장합니다. 이미 대상 계정의 유효한 기본 자격 증명을 보유한 공격자는 새 세션에서 로그인 워크플로를 재시작하여 2차 인증 시도 허용량을 복원할 수 있으며, 이로 인해 의도된 5회 시도 제한을 초과하여 온라인 TOTP 추측을 계속할 수 있습니다. 대기 중인 로그인 TOTP 핸들러는 계정 전체에 걸친 지속적인 제한을 공유하지 않았습니다. 이 문제는 버전 3.23.0에서 수정되었습니다.
소스
세션 범위 TOTP 속도 제한은 반복적인 검증 시도를 허용합니다
책임 있는 사용
귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.