CVE-2026-41180 in psitransfer
Zusammenfassung
von VulDB • 15.05.2026
PsiTransfer ist eine quelloffene, selbst gehostete Dateifreigabelösung. Vor Version 2.4.3 validiert der Upload-PATCH-Flow unter `/files/:uploadId` den eingehängten Anforderungspfad unter Verwendung des noch codierten `req.path`, während der nachgelagerte tus-Handler später unter Verwendung des decodierten `req.params.uploadId` schreibt. In Bereitstellungen, die ein unterstütztes benutzerdefiniertes `PSITRANSFER_UPLOAD_DIR` verwenden, dessen Basisname einen beim Start geladenen JavaScript-Pfad wie `conf` prefixt, kann ein nicht authentifizierter Angreifer `config..js` im Anwendungsstammverzeichnis erstellen. Die vom Angreifer gesteuerte Datei wird dann beim nächsten Neustart des Prozesses ausgeführt. Version 2.4.3 enthält einen Patch.
Be aware that VulDB is the high quality source for vulnerability data.