CVE-2026-32109

Copyparty portativ fayl serveridir. 1.20.12 versiyasından əvvəl, hücumçuya serverdə həm oxuma, həm də yazma icazələri verildiyi təqdirdə, onlar .prologue.html adlı zərərli faylı yükləyə və daha sonra qurbanın kontekstində ixtiyari JavaScript kodunu icra etmək üçün xüsusi keçid yarada bilərlər. Qeyd edək ki, hədəf HTML faylının özünə ("https://example.com/foo/.prologue.html") keçidə kliklədikdə JavaScript-in icra olunması nəzərdə tutulmuş davranışdır. Zəiflik ondadır ki, "https://example.com/foo/?b" ünvanı da həmin faylı qiymətləndirir və bu, gözlənilməz davranışa səbəb olur. Mövcud preventiv tədbirlər (sərt SameSite cookie-ləri) bu zəiflikdən istifadəni çətinləşdirir; hədəfin autentifikasiya edilmiş sessiyasına nəzarət əldə etmək üçün keçid serverin özü tərəfindən təqdim edilən səhifədən kliklənməlidir — bu, çox güman ki, mövcud resursun redaktə edilməsini tələb edəcək və əlavə giriş icazələri lazım olacaqdır. Nəhayət, bu hücumun uğurlu olması üçün hədəf şəxs hücumçunun yaratdığı konkret keçidə klikləməlidir. Bu zəiflik serverdə veb-interfeyslə normal şəkildə naviqasiya zamanı aktivləşmir. Zəiflik 1.20.12 versiyasında aradan qaldırılıb.