CVE-2026-49244
Təsvir
SFTPGo açıq mənbəli, hadisə əsaslı fayl ötürmə həllidir. Versiya 2.2.0-dan 2.7.3-ə qədər, baxış üçün açıq olan paylaşım üçün veb-klientin qismən ZIP yükləmə son nöqtəsi (endpoint), klient tərəfindən təqdim edilən fayl girişlərini kataloq sərhədlərini nəzərə alan yoxlama ilə deyil, xam bayt prefiksi müqayisəsi ilə təsdiqləyir. İctimai paylaşıma daxil ola bilən autentifikasiya olunmamış sorğu göndərən şəxs, hədəf yol paylaşım kataloqunun adı ilə başladıqda (məsələn, eyni prefiksə malik qonşu yol olduqda), paylaşım kataloqundan kənarda olan kanonik yolu seçə bilər. Son nöqtə daha sonra əhatə dairəsindən kənar olan faylı yaradılmış yükləməyə daxil edərək onun məzmununu ifşa edir. Bu problem versiya 2.7.3-də düzəldilmişdir.
Necə düzəltmək olar
- github.com/drakkan/sftpgo/v22.7.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/drakkan/sftpgo/v2Go | 2.2.0 ≤ v < 2.7.3 | 2.7.3 |
| github.com/drakkan/sftpgoGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.