CVE-2026-54685
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność w FileBrowser Quantum przed wersją 1.3.2-beta. Endpoint `/api/auth/login` nie wykonuje się w stałym czasie, co umożliwia atakującemu odróżnienie istniejących użytkowników od nieistniejących na podstawie czasu odpowiedzi (atak timingowy).
Ocena ryzyka
Ryzyko obejmuje wyciek informacji o istniejących użytkownikach, co może ułatwić ataki brute-force lub phishingowe.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 1.3.2-beta lub nowszej, która usuwa tę podatność.
Inne podatności w FileBrowser Quantum
Zobacz wszystkie- CVE-2026-48777Krytyczne
FileBrowser Quantum w wersjach przed 1.3.2-stable, 1.4.0-beta i 1.4.1-beta jest podatny na atak typu Path Traversal. Problem występuje w publicPatchHandler, gdzie użytkownik może manipulować ścieżkami plików, co pozwala na operacje na plikach poza udostępnionym katalogiem.
- CVE-2026-44542Krytyczne
FileBrowser Quantum przed wersjami 1.3.1-stable i 1.3.9-beta ma lukę, która pozwala atakującemu na wykorzystanie kontrolowanego przez niego wejścia ścieżki do ucieczki z zamierzonego katalogu współdzielonego. Dzięki temu, nieautoryzowany atakujący z ważnym hashem publicznego udostępnienia i uprawnieniami do usuwania może usunąć dowolne pliki poza tym katalogiem.
- CVE-2026-54910Wysokie
FileBrowser Quantum przed wersją 1.4.3-beta zawiera dwie luki typu path traversal w endpointcie /api/media/subtitles. Parametry 'path' i 'name' nie są odpowiednio sanityzowane, co pozwala uwierzytelnionemu użytkownikowi (dowolna rola) na odczyt dowolnego pliku tekstowego na serwerze, w tym /etc/passwd, klucze SSH i dane uwierzytelniające.
- CVE-2026-46410Wysokie
Podatność w FileBrowser Quantum przed wersjami 1.3.2-stable i 1.4.1-beta może ujawniać wrażliwe informacje, takie jak źródło i ścieżka. Problem został naprawiony w wersjach 1.3.2-stable i 1.4.1-beta.
Oryginalny opis (angielski, źródło NVD)
FileBrowser Quantum is a free, self-hosted, web-based file manager. Prior to version 1.3.2-beta, the `/api/auth/login` authentication endpoint does not execute in constant time. When a non-existent username is supplied, the server returns a `401`/`403` response almost immediately. When a valid username is provided, the server performs a bcrypt password comparison, causing a measurable delay in the response time. Version 1.3.2-beta patches the issue.