CVE-2026-49245
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
SFTPGo od wersji 2.2.0 do 2.7.3, parametr inline w zapytaniu przy pobieraniu plików z udostępnionych folderów lub katalogów domowych usuwa nagłówek Content-Disposition: attachment, co pozwala na serwowanie plików HTML jako text/html w kontekście przeglądarki.
Ocena ryzyka
Atakujący może wysłać spreparowany link do ofiary, a otwarcie go spowoduje wykonanie przechowywanej treści w kontekście przeglądarki ofiary, co może prowadzić do kradzieży danych lub manipulacji.
Rekomendacja
Zaleca się aktualizację do wersji 2.7.3, która zawiera poprawkę.
Inne podatności w SFTPGo
Zobacz wszystkie- CVE-2026-49244Średnie
SFTPGo to otwartoźródłowe, sterowane zdarzeniami rozwiązanie do transferu plików. Od wersji 2.2.0 do 2.7.3 publiczny endpoint web-client do częściowego pobierania ZIP dla udostępnionego katalogu weryfikuje dostarczone przez klienta wpisy plików za pomocą surowego porównania prefiksu bajtów, a nie sprawdzenia granic katalogu. Nieuwierzytelniony żądający, który ma dostęp do publicznego udostępnienia, może wybrać ścieżkę kanoniczną poza udostępnionym katalogiem, gdy ścieżka docelowa zaczyna się od nazwy udostępnionego katalogu, np. ścieżka siostrzana o tym samym prefiksie. Endpoint następnie dołącza plik spoza zakresu do wygenerowanego pobierania, ujawniając jego zawartość. Problem naprawiono w wersji 2.7.3.
- CVE-2026-10031Średnie
SFTPGo przed wersją 2.7.4 zawiera podatność na obejście uprawnień, która pozwala uwierzytelnionym użytkownikom na ominięcie kontroli dostępu do katalogów poprzez tworzenie dowiązań symbolicznych w dozwolonym katalogu, które wskazują na pliki w katalogach, w których uprawnienia do pobierania, przesyłania lub nadpisywania są zabronione. Atakujący mogą wykorzystać uprawnienie create_symlinks w połączeniu z dostępem do odczytu i zapisu w jednym katalogu, aby odczytywać lub modyfikować pliki w ograniczonych katalogach, ponieważ operacje są autoryzowane na podstawie uprawnień katalogu dowiązania, a nie uprawnień katalogu docelowego po dereferencji.
Oryginalny opis (angielski, źródło NVD)
SFTPGo is an open source, event-driven file transfer solution. From 2.2.0 until 2.7.3, the inline query parameter on browsable-share file downloads and authenticated user-file downloads suppresses Content-Disposition: attachment, allowing an attacker-controlled HTML file stored in a share or home directory to be served as text/html in the SFTPGo web origin. An attacker who can place the file can send a crafted link to a victim, and opening that link executes the stored content in the victim's browser context. Exploitation requires social engineering and suitable share or shared-folder access, while HttpOnly session cookies limit direct cookie theft. This issue is fixed in version 2.7.3.