CVE-2026-49245
Təsvir
SFTPGo açıq mənbəli, hadisə əsaslı fayl ötürmə həllidir. Versiya 2.2.0-dan 2.7.3-ə qədər, browsable-share fayl yükləmələri və autentifikasiya olunmuş istifadəçi-fayl yükləmələrindəki inline sorğu parametri Content-Disposition: attachment başlığını ləğv edir ki, bu da paylaşılan və ya ev kataloqunda saxlanılan hücumçu tərəfindən idarə olunan HTML faylının SFTPGo veb mənşəyində text/html kimi təqdim edilməsinə şərait yaradır. Faylı yerləşdirə bilən hücumçu qurbanla xüsusi hazırlanmış link paylaşa bilər və həmin linkin açılması saxlanılan məzmunun qurbanın brauzer kontekstində icra olunmasına səbəb olur. İstismar üçün sosial mühəndislik və müvafiq share və ya shared-folder girişi tələb olunur, HttpOnly sessiya kukiləri isə birbaşa kuki oğurluğunu məhdudlaşdırır. Bu problem versiya 2.7.3-də düzəldilmişdir.
Necə düzəltmək olar
- github.com/drakkan/sftpgo/v22.7.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/drakkan/sftpgo/v2Go | 2.2.0 ≤ v < 2.7.3 | 2.7.3 |
| github.com/drakkan/sftpgoGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.