CVE-2026-49245 in SFTPGo
الملخص
بحسب VulDB • 21/08/2026
SFTPGo هو حل نقل ملفات مفتوح المصدر ويعمل بناءً على الأحداث. من الإصدار 2.2.0 حتى 2.7.3، يقوم معامل الاستعلام المضمن (inline query parameter) المستخدم في تنزيلات الملفات عبر المشاركة القابلة للتصفح وتنزيلات المستخدمين المصادق عليهم بإلغاء تفعيل رأس `Content-Disposition: attachment`، مما يسمح بخدمة ملف HTML خاضع لسيطرة المهاجم والمخزن في مجلد مشاركة أو دليل المنزل كـ `text/html` ضمن أصل الويب الخاص بـ SFTPGo. يمكن لمهاجم قادر على وضع الملف إرسال رابط مُهندَس إلى ضحية، وفتح ذلك الرابط يؤدي إلى تنفيذ المحتوى المخزن في سياق متصفح الضحية. تتطلب الاستغلال الهندسة الاجتماعية والوصول المناسب إلى المشاركة أو المجلد المشترك، بينما تحد ملفات تعريف الارتباط للجلسة ذات العلامة `HttpOnly` من سرقة ملفات تعريف الارتباط مباشرةً. تم إصلاح هذه المشكلة في الإصدار 2.7.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.