Podatności Goploy
3 znanych podatności CVE w Goploy, przetłumaczonych i ocenionych.
- CVE-2026-114665Średnie
Goploy 1.18.0 przed wersją 1.18.1 zawiera podatność typu link following w endpointach /deploy/fileDiff i /deploy/fileCompare, która pozwala uwierzytelnionym członkom odczytywać dowolne pliki. Atakujący z prawem zapisu do repozytorium mogą zatwierdzić dowiązanie symboliczne wskazujące poza katalog projektu, aby odczytać konfigurację bazy danych i prywatne klucze SSH do wdrożeń.
- CVE-2026-53552Krytyczne
Goploy w wersjach do 1.17.5 nie sprawdza, czy projekt należy do przestrzeni nazw wywołującego użytkownika podczas operacji na plikach i edycji projektu. Użytkownik z rolą menedżera może czytać, pisać lub usuwać pliki w dowolnym projekcie oraz zmieniać adres URL zdalnego repozytorium git, co prowadzi do zdalnego wykonania kodu przy następnym wdrożeniu.
- CVE-2026-53553Wysokie
Goploy przed wersją 1.18.0 zawiera poważną podatność na path traversal w punktach końcowych API backendu, szczególnie w /deploy/fileDiff (porównywanie plików), podczas obsługi ścieżek plików dostarczanych przez klienta.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS