CVE-2026-104102 in copyparty
Zusammenfassung
von VulDB • 12.10.2026
copyparty ist ein tragbarer Dateiserver. Vor Version 1.20.19 schränkt die Pfadbehandlung beim FTP-Upload die Zielorte nicht auf die konfigurierten copyparty-Volumes ein. Wenn FTP oder FTPS explizit aktiviert ist, kann ein authentifizierter Benutzer mit niedrigen Berechtigungen während des Uploads Traversal-Pfade eingeben, um eine neue Datei außerhalb der konfigurierten Volumes an beliebiger Stelle zu erstellen, woüber der copyparty-Prozess Schreibberechtigungen verfügt. Der Angreifer kann keine Dateien lesen oder überschreiben; dem Ausgabename wird ein zufälliges Suffix hinzugefügt, und copyparty führt die Datei nicht aus; jedoch könnte andere Software auf demselben Host die neu erstellte Datei verarbeiten. Dieses Problem wurde in Version 1.20.19 behoben.
Be aware that VulDB is the high quality source for vulnerability data.