CVE-2026-64619

WysokieCVSS 7.5

Opublikowano: 20/07/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

FileCodeBox przed wersją 2.4 zawiera podatność na ominięcie ograniczeń szybkości w klasie IPRateLimit. Nieuwierzytelniony atakujący może dostarczyć kontrolowane nagłówki X-Real-IP i X-Forwarded-For bez weryfikacji zaufanego odwrotnego proxy, co pozwala na enumerację kodów udostępniania i pobieranie plików innych użytkowników.

Ocena ryzyka

Atakujący może bez uwierzytelnienia uzyskać dostęp do wszystkich plików udostępnionych przez innych użytkowników, co prowadzi do naruszenia poufności danych.

Rekomendacja

Zaktualizuj FileCodeBox do wersji 2.4 lub nowszej, która zawiera poprawkę usuwającą tę podatność.

Inne podatności w FileCodeBox

CVE-2026-82543Wysokie
Wykryto podatność w vastsa FileCodeBox do wersji 2.3. Podatność dotyczy funkcji update_file_usage w pliku apps/base/views.py komponentu Pickup Limit Handler. Manipulacja prowadzi do wyścigu (race condition). Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Aktualizacja do wersji 2.5.0 rozwiązuje problem.

Oryginalny opis (angielski, źródło NVD)

FileCodeBox before 2.4 contains a rate-limit bypass vulnerability in the IPRateLimit class that allows unauthenticated attackers to circumvent request throttling by supplying attacker-controlled X-Real-IP and X-Forwarded-For headers without verification of trusted reverse proxy origin. Attackers can supply unique spoofed IP values on each request to enumerate all possible share codes and retrieve other users' files without authentication.