File Browserは指定されたディレクトリ内でファイル管理インターフェースを提供し、ファイルのアップロード、削除、プレビュー、名前変更、編集に使用できます。バージョン2.55.0以前のJSONAuth.Auth関数には、認証されていない攻撃者が/api/loginエンドポイントの応答時間を測定することで有効なユーザー名を特定できるロジックの欠陥が含まれていました。この脆弱性は認証ロジックの「ショートサーキット」評価に起因します。データベースにユーザー名が存在しない場合、関数は即座に戻ります。しかし、ユーザー名が存在する場合、コードはbcrypt（users.CheckPwd）を使用してパスワードの検証を行います。これは意図的に遅く、計算コストの高い操作です。この実行経路の違いにより、測定可能なタイミングのずれが生じます。バージョン2.55.0ではこの問題に対する修正が含まれています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。