CVE-2026-10031
Açıklama
2.7.4 sürümü öncesindeki SFTPGo, kimliği doğrulanmış kullanıcıların; indirme, yükleme veya üzerine yazma izinlerinin reddedildiği dizinlerdeki dosyalara işaret eden sembolik bağlantıları izin verilen bir dizinde oluşturarak dizin başına erişim kontrollerini atlamasına olanak tanıyan bir yetki atlatma zafiyeti içermektedir. İşlemler, çözümlenen hedefin dizin izinleri yerine bağlantının bulunduğu dizinin izinlerine göre yetkilendirildiğinden, saldırganlar bir dizindeki okuma ve yazma erişimi ile birlikte create_symlinks iznini kullanarak kısıtlı dizinlerdeki dosyaları okuyabilir veya değiştirebilirler.
Nasıl düzeltilir
- drakkan SFTPGo2.7.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| drakkan SFTPGo | v < 2.7.4 | 2.7.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.