PT-2026-56685 · Unknown · Filebrowser Quantum

CVE-2026-54685 · Publicado 2026-03-24 · Atualizado 2026-07-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas FileBrowser Quantum (versões afetadas não especificadas)

Description O endpoint /api/auth/login é suscetível a um ataque de canal lateral de temporização. A função Auth() dentro do módulo JSONAuth em auth/json.go realiza uma busca no banco de dados pelo username antes de validar a senha. Se o username for inválido, o servidor retorna uma resposta quase imediatamente. No entanto, se o username for válido, o servidor executa uma comparação de senha bcrypt, que é computacionalmente dispendiosa e introduz um atraso mensurável. Essa diferença no tempo de resposta permite que um invasor não autenticado distinga entre nomes de usuário válidos e inválidos.

Recommendations Como medida de mitigação temporária, restrinja o acesso ao endpoint /api/auth/login para minimizar o risco de enumeração de nomes de usuário.

Exploit

Correção

Enumeração de Fraquezas

CWE-208

Identificadores relacionados

CVE-2026-54685

GHSA-7789-65HX-F26W

GO-2026-4820

Produtos afetados

Filebrowser Quantum

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/54xxx/CVE-2026-54685.json · Exploit
• https://github.com/gtsteffaniak/filebrowser/commit/af08800667b874620edc6f44c3e2e64fec7abd85 · Nota
• https://github.com/gtsteffaniak/filebrowser/releases/tag/v1.3.2-beta · Nota
• https://github.com/gtsteffaniak/filebrowser/security/advisories/GHSA-7789-65hx-f26w · Nota
• https://github.com/gtsteffaniak/filebrowser · Nota
• https://osv.dev/vulnerability/GHSA-7789-65hx-f26w · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2026-4820 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-54685 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-54685 · Nota de Segurança