CVE-2026-10031
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
SFTPGo przed wersją 2.7.4 zawiera podatność na obejście uprawnień, która pozwala uwierzytelnionym użytkownikom na ominięcie kontroli dostępu do katalogów poprzez tworzenie dowiązań symbolicznych w dozwolonym katalogu, które wskazują na pliki w katalogach, w których uprawnienia do pobierania, przesyłania lub nadpisywania są zabronione. Atakujący mogą wykorzystać uprawnienie create_symlinks w połączeniu z dostępem do odczytu i zapisu w jednym katalogu, aby odczytywać lub modyfikować pliki w ograniczonych katalogach, ponieważ operacje są autoryzowane na podstawie uprawnień katalogu dowiązania, a nie uprawnień katalogu docelowego po dereferencji.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać nieautoryzowany dostęp do plików w ograniczonych katalogach, co może prowadzić do wycieku danych lub nieautoryzowanej modyfikacji plików w systemie SFTPGo.
Rekomendacja
Zaktualizuj SFTPGo do wersji 2.7.4 lub nowszej, która zawiera poprawkę dla podatności na obejście uprawnień przez dowiązania symboliczne.
Inne podatności w SFTPGo
Zobacz wszystkie- CVE-2026-77375Średnie
SFTPGo w wersjach przed 2.7.5 pozwala uwierzytelnionemu użytkownikowi SSH wysłać zniekształconą wiadomość protokołu podczas otwierania kanału. Powoduje to nieobsłużony błąd, który kończy proces serwera i wpływa na wszystkich połączonych użytkowników do czasu restartu. Nie stwierdzono wpływu na poufność ani integralność.
- CVE-2026-103028Średnie
SFTPGo to otwarte, sterowane zdarzeniami rozwiązanie do transferu plików. W wersjach od 2.5.0 do 2.7.6 uwierzytelniony użytkownik z uprawnieniem kopiowania może skopiować plik źródłowy zabroniony przez denied_patterns lub znajdujący się poza allowed_patterns do dozwolonej nazwy docelowej, ponieważ filtry wzorców plików są oceniane tylko na miejscu docelowym. Użytkownik może następnie odczytać zawartość zabronionego pliku.
- CVE-2026-49245Niskie
SFTPGo od wersji 2.2.0 do 2.7.3, parametr inline w zapytaniu przy pobieraniu plików z udostępnionych folderów lub katalogów domowych usuwa nagłówek Content-Disposition: attachment, co pozwala na serwowanie plików HTML jako text/html w kontekście przeglądarki.
- CVE-2026-49244Średnie
SFTPGo to otwartoźródłowe, sterowane zdarzeniami rozwiązanie do transferu plików. Od wersji 2.2.0 do 2.7.3 publiczny endpoint web-client do częściowego pobierania ZIP dla udostępnionego katalogu weryfikuje dostarczone przez klienta wpisy plików za pomocą surowego porównania prefiksu bajtów, a nie sprawdzenia granic katalogu. Nieuwierzytelniony żądający, który ma dostęp do publicznego udostępnienia, może wybrać ścieżkę kanoniczną poza udostępnionym katalogiem, gdy ścieżka docelowa zaczyna się od nazwy udostępnionego katalogu, np. ścieżka siostrzana o tym samym prefiksie. Endpoint następnie dołącza plik spoza zakresu do wygenerowanego pobierania, ujawniając jego zawartość. Problem naprawiono w wersji 2.7.3.
Oryginalny opis (angielski, źródło NVD)
SFTPGo prior to 2.7.4 contains a permission bypass vulnerability that allows authenticated users to circumvent per-directory access controls by creating symbolic links in a permitted directory that point to files in directories where download, upload, or overwrite permissions are denied. Attackers can exploit the create_symlinks permission combined with read and write access in one directory to read or modify files in restricted directories, as operations are authorized against the link's directory permissions rather than the dereferenced target's directory permissions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS