CVE-2026-33072

FileRise es un gestor de archivos web autoalojado / servidor WebDAV. En versiones anteriores a la 3.9.0, se utiliza una clave de cifrado predeterminada codificada de forma rígida (default_please_change_this_key) para todas las operaciones criptográficas — generación de tokens HMAC, cifrado de configuración AES y tokens de sesión — permitiendo a cualquier atacante no autenticado forjar tokens de carga para la subida arbitraria de archivos a carpetas compartidas, y descifrar secretos de configuración de administrador, incluidos secretos de cliente OIDC y contraseñas SMTP. FileRise usa una única clave (PERSISTENT_TOKENS_KEY) para todas las operaciones criptográficas. El valor predeterminado default_please_change_this_key está codificado de forma rígida en dos lugares y se utiliza a menos que el implementador anule explícitamente la variable de entorno. Este problema está solucionado en la versión 3.9.0.