CVE-2025-51663
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W implementacji IPRateLimit w FileCodeBox do wersji 2.2 występuje podatność pozwalająca zdalnym atakującym obejść ograniczenia szybkości oparte na IP oraz limity nieudanych prób poprzez fałszowanie nagłówków HTTP X-Real-IP i X-Forwarded-For. Umożliwia to ataki DoS lub brute force kodów udostępniania.
Ocena ryzyka
Atakujący może obejść mechanizmy ochrony i przeprowadzać ataki brute force lub DoS, co może prowadzić do nieautoryzowanego dostępu do udostępnianych plików lub niedostępności usługi.
Rekomendacja
Zaktualizuj FileCodeBox do wersji zawierającej poprawkę walidacji nagłówków IP; do czasu aktualizacji wdróż zewnętrzne mechanizmy ograniczania szybkości na poziomie proxy.
Inne podatności w FileCodeBox
Zobacz wszystkie- CVE-2026-82543Wysokie
Wykryto podatność w vastsa FileCodeBox do wersji 2.3. Podatność dotyczy funkcji update_file_usage w pliku apps/base/views.py komponentu Pickup Limit Handler. Manipulacja prowadzi do wyścigu (race condition). Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Aktualizacja do wersji 2.5.0 rozwiązuje problem.
- CVE-2026-64619Wysokie
FileCodeBox przed wersją 2.4 zawiera podatność na ominięcie ograniczeń szybkości w klasie IPRateLimit. Nieuwierzytelniony atakujący może dostarczyć kontrolowane nagłówki X-Real-IP i X-Forwarded-For bez weryfikacji zaufanego odwrotnego proxy, co pozwala na enumerację kodów udostępniania i pobieranie plików innych użytkowników.
- CVE-2025-51662Średnie
W funkcji udostępniania tekstu w FileCodeBox w wersji 2.2 i wcześniejszych występuje podatność stored cross-site scripting (XSS). Niewystarczająca walidacja danych wejściowych pozwala atakującemu wstrzyknąć dowolny kod JavaScript do udostępnianych "codeboxów". Ładunek XSS jest automatycznie wykonywany w przeglądarkach użytkowników, którzy uzyskają dostęp do zainfekowanego codeboxa.
- CVE-2025-51661Wysokie
W FileCodeBox v2.2 i wcześniejszych występuje podatność path traversal umożliwiająca dowolny zapis plików, gdy aplikacja korzysta z lokalnego magazynu plików. Metoda SystemFileStorage.save_file w core/storage.py używa nazw plików z danych wejściowych użytkownika bez walidacji do budowy save_path, co pozwala na zapis poza docelowym katalogiem przez nieuwierzytelnione żądania POST do endpointu /share/file/.
Oryginalny opis (angielski, źródło NVD)
A vulnerability found in IPRateLimit implementation of FileCodeBox up to 2.2 allows remote attackers to bypass ip-based rate limit protection and failed attempt restrictions by faking X-Real-IP and X-Forwarded-For HTTP headers. This can enable attackers to perform DoS attacks or brute force share codes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS