CVE-2026-129161

Nome do Software Vulnerável e Versões Afetadas Dromara free-fs versões 2.0.1 through 2.3.1

Description Uma restrição inadequada de tentativas de autenticação permite que invasores não autenticados realizem um ataque de força bruta contra códigos de redefinição de senha de seis dígitos. Ao solicitar um código para um endereço de e-mail conhecido, um invasor pode enviar palpites ilimitados dentro do período de validade de 300 segundos do código para definir uma senha escolhida e assumir o controle da conta. Isso ocorre por meio do endpoint PUT '/apis/user/forget-password'.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.