FileRise: WebDAV-Basisauthentifizierung umgeht TOTP/MFA
Zusammenfassung
FileRise, ein selbst gehosteter webbasierter Dateimanager, erzwingt bei aktiviertem WebDAV für die WebDAV-Basisauthentifizierung nicht den konfigurierten TOTP-Zweitfaktor. Ein Angreifer, der Benutzername und Passwort eines TOTP-aktivierten Kontos kennt, kann sich am WebDAV-Dienst anmelden und die WebDAV-Dateiberechtigungen dieses Kontos nutzen. Die Browser-Anmeldung erzwingt TOTP, daher wird die MFA-Kontrolle nur über den WebDAV-Zugang umgangen.
Betroffen
- FileRise-Versionen vor 3.16.0, nur wenn WebDAV aktiviert ist
- Laut Herstellerhinweis sind Versionen < 3.16.0 betroffen
Behoben in
- Behoben in FileRise 3.16.0 (Commit f7114ca2a4e624238dda0d097a07ad6b05c11bb6)
- Neuere Versionen sind verfügbar; auf die neueste Version aktualisieren
Umgehung
- Kein offizieller Workaround für ungepatchte Versionen ausser dem Update.
- Die Herstellerangabe für TOTP-Konten lautet, für WebDAV ein Konto ohne TOTP zu verwenden, wodurch der Zweitfaktor entfällt. Dies wird nicht empfohlen.
- Falls ein Patch nicht sofort möglich ist, WebDAV deaktivieren oder den Zugriff auf das interne Netz oder ein VPN beschränken.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; die CVE ist nicht im CISA-KEV-Katalog enthalten.
- CISA SSVC stuft die Ausnutzung als PoC ein; automatisierbar: nein; technische Auswirkung: total.
- Der Angreifer benötigt gültige Primärzugangsdaten (PR:L). Aus dem Internet erreichbare Instanzen sind das Hauptrisiko.
Unsere Empfehlung
- FileRise auf die neueste Version aktualisieren, mindestens auf 3.16.0.
- Vor dem Update FR_TRUSTED_PROXIES prüfen, falls Proxy-Header-Anmeldung verwendet wird.
- WebDAV deaktivieren, wenn es nicht benötigt wird.
- Falls WebDAV benötigt wird, den Zugriff auf das interne Netz oder ein VPN beschränken.
- Eindeutige, starke Passwörter für alle Konten durchsetzen, insbesondere für TOTP-aktivierte Konten und Administratoren.
- WebDAV-Zugriffsprotokolle auf Anmeldungen aus unerwarteten Quellen prüfen.
- Weitere in derselben Version behobene Schwachstellen prüfen (CVE-2026-57489, CVE-2026-57491, CVE-2026-57492, CVE-2026-57493).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-cx7g-xhj8-8cx3 github.com
- FileRise v3.16.0 release github.com
- Fix commit f7114ca github.com
- FileRise changelog filerise.net
- OpenCVE CVE-2026-57490 app.opencve.io
- VulDB entry 420368 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:02.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.