CVE-2025-62509
Publiée le 2025-10-20 · Dernière modification le 2026-10-08
Les installations auto-hébergées de FileRise antérieures à la version 1.4.0 sont affectées par une faille dans la manière dont le logiciel suit la propriété des fichiers. Un utilisateur authentifié disposant de privilèges de bas niveau peut consulter, modifier ou supprimer des fichiers appartenant à d'autres utilisateurs simplement en devinant ou en prédisant les noms des dossiers. Cette action est facile à exécuter via un réseau et ne nécessite aucune interaction particulière de l'utilisateur, si ce n'est la possession d'un compte standard.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
FileRise is a self-hosted web-based file manager with multi-file upload, editing, and batch operations. Prior to version 1.4.0, a business logic flaw in FileRise’s file/folder handling allows low-privilege users to perform unauthorized operations (view/delete/modify) on files created by other users. The root cause was inferring ownership/visibility from folder names (e.g., a folder named after a username) and missing server-side authorization/ownership checks across file operation endpoints. This amounted to an IDOR pattern: an attacker could operate on resources identified only by predictable names. This issue has been patched in version 1.4.0 and further hardened in version 1.5.0. A workaround for this issue involves restricting non-admin users to read-only or disable delete/rename APIs server-side, avoid creating top-level folders named after other usernames, and adding server-side checks that verify ownership before delete/rename/move.