CVE-2026-103028

SFTPGo w wersjach przed 2.7.5 pozwala uwierzytelnionemu użytkownikowi SSH wysłać zniekształconą wiadomość protokołu podczas otwierania kanału. Powoduje to nieobsłużony błąd, który kończy proces serwera i wpływa na wszystkich połączonych użytkowników do czasu restartu. Nie stwierdzono wpływu na poufność ani integralność.

SFTPGo od wersji 2.2.0 do 2.7.3, parametr inline w zapytaniu przy pobieraniu plików z udostępnionych folderów lub katalogów domowych usuwa nagłówek Content-Disposition: attachment, co pozwala na serwowanie plików HTML jako text/html w kontekście przeglądarki.

SFTPGo to otwartoźródłowe, sterowane zdarzeniami rozwiązanie do transferu plików. Od wersji 2.2.0 do 2.7.3 publiczny endpoint web-client do częściowego pobierania ZIP dla udostępnionego katalogu weryfikuje dostarczone przez klienta wpisy plików za pomocą surowego porównania prefiksu bajtów, a nie sprawdzenia granic katalogu. Nieuwierzytelniony żądający, który ma dostęp do publicznego udostępnienia, może wybrać ścieżkę kanoniczną poza udostępnionym katalogiem, gdy ścieżka docelowa zaczyna się od nazwy udostępnionego katalogu, np. ścieżka siostrzana o tym samym prefiksie. Endpoint następnie dołącza plik spoza zakresu do wygenerowanego pobierania, ujawniając jego zawartość. Problem naprawiono w wersji 2.7.3.

SFTPGo przed wersją 2.7.4 zawiera podatność na obejście uprawnień, która pozwala uwierzytelnionym użytkownikom na ominięcie kontroli dostępu do katalogów poprzez tworzenie dowiązań symbolicznych w dozwolonym katalogu, które wskazują na pliki w katalogach, w których uprawnienia do pobierania, przesyłania lub nadpisywania są zabronione. Atakujący mogą wykorzystać uprawnienie create_symlinks w połączeniu z dostępem do odczytu i zapisu w jednym katalogu, aby odczytywać lub modyfikować pliki w ograniczonych katalogach, ponieważ operacje są autoryzowane na podstawie uprawnień katalogu dowiązania, a nie uprawnień katalogu docelowego po dereferencji.