CVE-2024-52309 in sftpgo
Zusammenfassung
von VulDB • 16.08.2026
SFTPGo ist ein voll ausgestatteter und hochgradig konfigurierbarer Server für die Protokolle SFTP, HTTP/S, FTP/S sowie WebDAV – mit Unterstützung für S3, Google Cloud Storage und Azure Blob. Eine leistungsstarke Funktion von SFTPGo ist die Möglichkeit, das EventManager-Skripte ausführen oder Anwendungen als Reaktion auf bestimmte Ereignisse starten zu lassen. Diese Funktion ist in allen ähnlichen Softwarelösungen weit verbreitet und im Allgemeinen unbeschränkt. Allerdings hat jeder SFTPGo-Administrator mit der Berechtigung zum Ausführen eines Skripts Zugriff auf das zugrunde liegende Betriebssystem/Container mit denselben Berechtigungen wie der Benutzer, unter dem SFTPGo ausgeführt wird. Dies ist für einige SFTPGo-Administratoren unerwartet, die glauben, dass eine klare Trennung zwischen dem Zugriff auf die Systemshell und dem Zugriff auf die WebAdmin-Benutzeroberfläche von SFTPGo besteht. Um diese Verwirrung zu vermeiden, sind das Ausführen von Systembefehlen in Version 2.6.3 standardmäßig deaktiviert, und es wurde eine Allow-Liste hinzugefügt, sodass Systemadministratoren beim Konfigurieren von SFTPGo explizit definieren müssen, welche Befehle über die WebAdmin-Benutzeroberfläche konfiguriert werden dürfen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.