CVE-2026-104102
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
copyparty to przenośny serwer plików. W wersjach przed 1.20.19 obsługa ścieżek uploadu FTP nie ogranicza miejsc docelowych do skonfigurowanych wolumenów copyparty. Gdy FTP lub FTPS jest jawnie włączone, nisko uprzywilejowany uwierzytelniony użytkownik może przesłać ścieżki traversal podczas uploadu, aby utworzyć nowy plik poza skonfigurowanymi wolumenami, wszędzie tam, gdzie proces copyparty ma uprawnienia zapisu.
Ocena ryzyka
Atakujący nie może odczytać ani nadpisać plików, a nazwa wyjściowa otrzymuje losowy sufiks, jednak inne oprogramowanie na tym samym hoście może przetworzyć nowo utworzony plik. Może to prowadzić do nieautoryzowanego tworzenia plików i potencjalnych dalszych ataków.
Rekomendacja
Należy zaktualizować copyparty do wersji 1.20.19 lub nowszej, która naprawia tę podatność. Zaleca się również ograniczenie uprawnień zapisu procesu copyparty oraz wyłączenie FTP/FTPS, jeśli nie jest wymagane.
Inne podatności w copyparty
Zobacz wszystkie- CVE-2023-38501Średnie
Oprogramowanie serwera plików copyparty przed wersją 1.8.7 zawiera podatność na refleksyjny atak XSS poprzez parametry URL `?k304=...` oraz `?setck=...`. Może to prowadzić do przenoszenia lub usuwania istniejących plików na serwerze, a także do przesyłania nowych plików, wykorzystując konto osoby, która kliknie złośliwy link.
- CVE-2023-37474Wysokie
Copyparty to przenośny serwer plików, który w wersjach przed 1.8.2 jest podatny na atak typu path traversal w podfolderze `.cpr`. Atak ten umożliwia dostęp do plików, katalogów i poleceń znajdujących się poza głównym katalogiem dokumentów webowych.
- CVE-2026-93353Niskie
copyparty zawiera podatność obejścia ograniczeń wolumenów w frontendzie SFTP, która pozwala uwierzytelnionym użytkownikom SFTP na tworzenie, usuwanie i przycinanie plików poza dozwolonymi granicami wolumenów. Dzieje się tak przez trzy handlery (_mkdir, _rmdir, _chattr), które nie wywołują kontroli chk_ap.
- CVE-2026-70657Średnie
Copyparty to przenośny serwer plików. Przed wersją 1.20.17 wolumeny copyparty z flagami katalogów dk lub dks w połączeniu z flagami plików fk lub fka mogą zamienić prawidłowy klucz pliku na klucz katalogu, przyznając dostęp do odczytu do zawierającego folderu. Ta podatność była osiągalna tylko wtedy, gdy oba typy kluczy (klucze plików i klucze katalogów) były ręcznie włączone w flagach wolumenu jednocześnie. Problem został naprawiony w wersji 1.20.17.
Oryginalny opis (angielski, źródło NVD)
copyparty is a portable file server. Prior to 1.20.19, FTP upload path handling does not confine destinations to configured copyparty volumes. When FTP or FTPS is explicitly enabled, a low-privileged authenticated user can submit traversal paths during upload to create a new file outside configured volumes wherever the copyparty process has write permission. The attacker cannot read or overwrite files, the output name receives a randomized suffix, and copyparty does not execute the file; however, unrelated software on the same host could process the newly created file. This issue is fixed in version 1.20.19.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS