CVE-2026-104106

FileRise przed wersją 3.28.0 zawiera podatność eskalacji uprawnień, która pozwala uwierzytelnionym atakującym z niskimi uprawnieniami uzyskać nieautoryzowany dostęp do odczytu i zapisu poprzez wykorzystanie nieprawidłowej izolacji sesji między interfejsem WebDAV a kontekstem sesji aplikacji webowej. Atakujący mogą połączyć ważne poświadczenia Basic-Auth z aktywnym plikiem cookie PHPSESSID administratora, aby obejść granice autoryzacji.

FileRise przed wersją 3.16.0 jest podatny na path traversal w punkcie końcowym przesyłania plików do folderu współdzielonego (/api/folder/uploadToSharedFolder.php), co prowadzi do dowolnego zapisu plików i przejęcia konta administratora. Walidacja nazwy pliku przez FolderController przepuszcza sekwencje zakodowane w URL.

FileRise to samodzielnie hostowany menedżer plików. Od wersji 3.9.0 do 3.22.0 czyste instalacje manualne bez PERSISTENT_TOKENS_KEY lub metadata/persistent_tokens.key mogą aktywować opublikowany klucz zgodności legacy. Jeśli atakujący zdobędzie pliki kont lub konfiguracji zawierające szyfrogram, znany klucz zapasowy umożliwi odszyfrowanie sekretów TOTP lub poświadczeń. Problem naprawiono w wersji 3.22.0.

FileRise to samodzielnie hostowany menedżer plików. Przed wersją 3.21.0 FileRise zwracał zapisaną wartość branding.footerHtml przez nieuwierzytelnione publiczne API konfiguracji witryny bez sanityzacji po stronie serwera. Frontend FileRise sanityzuje tę wartość przed renderowaniem, ale surowy HTML był eksponowany przez API. Administrator musi najpierw zapisać złośliwą wartość stopki. Problem naprawiono w wersji 3.21.0.

FileRise to samodzielnie hostowany menedżer plików. Przed wersją 3.21.0 FileRise śledzi nieudane logowania tylko na podstawie kombinacji adresu IP źródła i nazwy użytkownika. Zdalny nieuwierzytelniony atakujący może rotować nazwy użytkowników, aby uzyskać świeży budżet prób dla każdej nazwy, umożliwiając password spraying z jednego źródła poza zamierzonym limitem. Problem naprawiono w wersji 3.21.0.

FileRise to samodzielnie hostowany menedżer plików. Przed wersją 3.21.0 FileRise egzekwuje disableFormLogin, disableBasicAuth i disableOIDCLogin w interfejsie klienta, ale niekonsekwentnie w odpowiednich przepływach uwierzytelniania po stronie serwera. Użytkownik z ważnymi poświadczeniami dla wyłączonej metody może wywołać jej endpoint backendu bezpośrednio i uwierzytelnić się mimo polityki administratora. Problem naprawiono w wersji 3.21.0.

W FileRise przed wersją 3.20.0 punkt końcowy /api/file/snippet.php nie stosuje standardowej kontroli uwierzytelnionej sesji przed przetwarzaniem żądań podglądu krótkich tekstów. Endpoint nadal wykonuje kontrole ACL, więc typowe instalacje nie ujawniają nieuwierzytelnionego odczytu dowolnych plików, ale nieuwierzytelnione żądania docierają do oceny ACL zamiast natychmiastowej odpowiedzi 401. Jedynie nietypowe nagłówki proxy lub błędna konfiguracja ACL mogą pozwolić żądaniom wejść w obsługę ścieżek i zawartości plików.

FileRise przed wersją 3.19.0 nie odrzuca segmentów ścieżki typu ".." w parametrze folderName przed utworzeniem katalogu przez FolderModel::createFolder(). Uwierzytelniony użytkownik z niskimi uprawnieniami, ważnym tokenem CSRF oraz prawem tworzenia lub właściciela katalogu nadrzędnego może wysłać segmenty traversal do POST /api/folder/createFolder.php i utworzyć katalogi poza UPLOAD_DIR.

W FileRise przed wersją 3.18.0 ścieżki folderów są spłaszczane do nazw plików metadanych poprzez zastępowanie separatorów i spacji myślnikami, przez co różne foldery (np. team/docs i team-docs) mogą współdzielić jeden plik metadanych. Użytkownik o niskich uprawnieniach, który kontroluje kolidujący folder i zna nazwę pliku docelowego, może zmodyfikować metadane, sprawić że cudzy plik wygląda na jego własny, a następnie go odczytać i zmodyfikować.

W FileRise przed wersją 3.18.0 udostępnione foldery z możliwością wysyłania oraz linki tylko do wysyłania nie odrzucają nazwy pliku docelowego, która już istnieje. Nieuwierzytelniony gość z ważnym tokenem udostępniania i hasłem może wysłać plik o tej samej nazwie i po cichu zastąpić jego zawartość, zachowując oryginalne metadane. Ten sam problem dotyczy zwykłych uwierzytelnionych wysyłek przez /api/upload/upload.php oraz użytkowników tylko do wysyłania bez prawa edycji istniejącego pliku.