CVE-2026-104110
中已发布
FileRise：通过 /api/pro/portals/get.php 未授权泄露 FileRise Pro 客户端门户的内部文件夹路径、客户端邮箱和上传策略
- 已发布
- 2026年10月14日
- 已更新
- 2026年10月15日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年10月3日
初级CVSS
5.3/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N0.4%
低 · 未来 30 天
- 百分位
- 34.6%
- 型号日期
- 2026年10月15日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
FileRise 是一个自托管的基于 Web 的文件管理器，支持多文件上传、编辑和批量操作。在 3.24.0 之前，FileRise Pro 的 /api/pro/portals/get.php 会向知道或猜到门户 slug 的未认证调用者返回已配置客户端门户的完整内部记录。响应中包含内部存储文件夹路径、客户联系邮箱、表单设置以及上传策略详情，而单独的 publicMeta.php 端点则有意仅暴露经过筛选的品牌数据。利用此漏洞需要 Pro 附加组件且至少配置一个门户。该问题已在 3.24.0 版本中修复。
来源
FileRise Pro 客户端门户通过 /api/pro/portals/get.php 未授权泄露内部文件夹路径、客户端邮箱和上传策略
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。