CVE-2026-103028
Təsvir
SFTPGo açıq mənbəli, hadisə əsaslı fayl ötürmə həllidir. 2.5.0 versiyasından 2.7.6 versiyasına qədər, kopyalama icazəsi olan autentifikasiya olunmuş istifadəçi, fayl nümunəsi filtrləri yalnız təyinat nöqtəsində qiymətləndirildiyi üçün denied_patterns tərəfindən rədd edilmiş və ya allowed_patterns xaricində olan mənbə faylını icazə verilmiş təyinat adına kopyalaya bilər. Daha sonra istifadəçi rədd edilmiş faylın məzmununu oxuya bilər. Rekursiv kataloq kopyalamaları məhdudlaşdırılmış məzmunu icazə verilmiş yol altında yenidən yarada bilər və gizlətmə siyasətindən yan keçilə bilər, çünki stat və kataloq siyahılarında çatışmayan kimi görünən fayllar hələ də kopyalana bilir. Ev kataloqu sərhədləri, virtual qovluq düzümü, hər bir kataloq üzrə icazələr, digər hesablara giriş və inzibati avtorizasiya qüvvədə qalır. Bu problem 2.7.6 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- github.com/drakkan/sftpgo/v22.7.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/drakkan/sftpgo/v2Go | 2.5.0 ≤ v < 2.7.6 | 2.7.6 |
| github.com/drakkan/sftpgoGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.