CVE-2026-53553

WysokieCVSS 7.7

Opublikowano: 31/08/2026(UTC)Zaktualizowano: 31/08/2026(UTC)Przetłumaczono: 01/09/2026(UTC)NVD NIST

Streszczenie

Goploy przed wersją 1.18.0 zawiera poważną podatność na path traversal w punktach końcowych API backendu, szczególnie w /deploy/fileDiff (porównywanie plików), podczas obsługi ścieżek plików dostarczanych przez klienta.

Ocena ryzyka

Atakujący może odczytać dowolne pliki z systemu plików serwera, w tym pliki konfiguracyjne, klucze prywatne i dane wrażliwe, co prowadzi do naruszenia poufności.

Rekomendacja

Zaktualizuj Goploy do wersji 1.18.0 lub nowszej. Dodatkowo ogranicz dostęp do API i waliduj ścieżki plików po stronie serwera.

Inne podatności w Goploy

CVE-2026-53552Krytyczne
Goploy w wersjach do 1.17.5 nie sprawdza, czy projekt należy do przestrzeni nazw wywołującego użytkownika podczas operacji na plikach i edycji projektu. Użytkownik z rolą menedżera może czytać, pisać lub usuwać pliki w dowolnym projekcie oraz zmieniać adres URL zdalnego repozytorium git, co prowadzi do zdalnego wykonania kodu przy następnym wdrożeniu.

Oryginalny opis (angielski, źródło NVD)

Goploy is an open-source automation deployment system. Prior to version 1.18.0, a severe path traversal vulnerability exists in its backend API endpoints, specifically /deploy/fileDiff (File Compare), when handling file paths provided by the client. This issue has been patched in version 1.18.0.