PT-2025-42792 · Filerise · Filerise
Publicado
2025-10-20
·
Atualizado
2025-12-04
·
CVE-2025-62509
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do FileRise anteriores a 1.4.0
Descrição
O FileRise é um gerenciador de arquivos baseado na web e auto-hospedado. Uma falha na manipulação de arquivos/pastas permite que usuários com baixos privilégios realizem operações não autorizadas (visualizar, excluir, modificar) em arquivos criados por outros usuários. Isso ocorre devido à inferência de propriedade/visibilidade a partir dos nomes das pastas e à falta de verificações de autorização no lado do servidor. Este problema representa um padrão IDOR (Referência Direta a Objetos Inseguros), onde um atacante pode operar em recursos identificados por nomes previsíveis. As operações vulneráveis ocorrem através de endpoints de operações de arquivos.
Recomendações
Atualize para a versão 1.4.0 ou posterior.
Como solução alternativa, restrinja usuários não administradores ao acesso somente leitura.
Como solução alternativa, desabilite as APIs de exclusão/renomeação no lado do servidor.
Evite criar pastas de nível superior com nomes de outros usuários.
Adicione verificações no lado do servidor para validar a propriedade antes de operações de exclusão, renomeação ou movimentação.
Exploit
Correção
Improper Access Control
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Filerise