CVE-2026-114665
ŚrednieCVSS 6.5Streszczenie
Goploy 1.18.0 przed wersją 1.18.1 zawiera podatność typu link following w endpointach /deploy/fileDiff i /deploy/fileCompare, która pozwala uwierzytelnionym członkom odczytywać dowolne pliki. Atakujący z prawem zapisu do repozytorium mogą zatwierdzić dowiązanie symboliczne wskazujące poza katalog projektu, aby odczytać konfigurację bazy danych i prywatne klucze SSH do wdrożeń.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych, takich jak konfiguracja bazy danych i klucze SSH, co może prowadzić do dalszej kompromitacji systemów i infrastruktury.
Rekomendacja
Zaktualizuj Goploy do wersji 1.18.1 lub nowszej i ogranicz prawo zapisu do repozytorium oraz wdróż walidację ścieżek w endpointach fileDiff i fileCompare.
Inne podatności w Goploy
Zobacz wszystkie- CVE-2026-53552Krytyczne
Goploy w wersjach do 1.17.5 nie sprawdza, czy projekt należy do przestrzeni nazw wywołującego użytkownika podczas operacji na plikach i edycji projektu. Użytkownik z rolą menedżera może czytać, pisać lub usuwać pliki w dowolnym projekcie oraz zmieniać adres URL zdalnego repozytorium git, co prowadzi do zdalnego wykonania kodu przy następnym wdrożeniu.
- CVE-2026-53553Wysokie
Goploy przed wersją 1.18.0 zawiera poważną podatność na path traversal w punktach końcowych API backendu, szczególnie w /deploy/fileDiff (porównywanie plików), podczas obsługi ścieżek plików dostarczanych przez klienta.
Oryginalny opis (angielski, źródło NVD)
Goploy 1.18.0 before 1.18.1 contains a link following vulnerability in the /deploy/fileDiff and /deploy/fileCompare endpoints that allows authenticated members to read arbitrary files. Attackers with repository write access can commit a symlink pointing outside the project directory to read database configuration and deployment SSH private keys.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS