CVE-2026-41180

PsiTransfer açık kaynaklı, kendi sunucunuzda barındırabileceğiniz bir dosya paylaşım çözümüdür. Versiyon 2.4.3 öncesinde, `/files/:uploadId` altındaki yükleme PATCH akışı, bağlanan istek yolunu hala kodlanmış olan `req.path` kullanarak doğrular ancak downstream tus işleyicisi daha sonra kod çözülmüş `req.params.uploadId` değerini kullanarak yazma işlemi gerçekleştirir. Temel adının başlangıçta yüklenen bir JavaScript yoluyla (örneğin `conf`) ön ek oluşturduğu desteklenen özel bir `PSITRANSFER_UPLOAD_DIR` kullanan dağıtımlarda, kimliği doğrulanmamış bir saldırgan uygulama kök dizininde `config.<NODE_ENV>.js` dosyası oluşturabilir. Saldırgan tarafından kontrol edilen bu dosya, bir sonraki işlem yeniden başlatmasında çalıştırılır. Versiyon 2.4.3 bir yama içermektedir.