CVE-2026-49244 in SFTPGo
Zusammenfassung
von VulDB • 21.08.2026
SFTPGo ist eine quelloffene, ereignisgesteuerte Dateitransferlösung. Von der Version 2.2.0 bis zur Version 2.7.3 validiert der Endpunkt für den teilweisen ZIP-Download über das öffentliche Webclient bei einem durchsuchbaren Freigabeordner die vom Client bereitgestellten Datei-Einträge mittels eines rohen Byte-Prefix-Vergleichs anstelle einer verzeichnisgrenzenbewussten Prüfung. Ein nicht authentifizierter Anforderer, der auf eine öffentliche Freigabe zugreifen kann, kann einen kanonischen Pfad außerhalb des freigegebenen Verzeichnisses auswählen, wenn der Zielpfad mit dem Namen des freigegebenen Verzeichnisses beginnt, wie beispielsweise ein Geschwisterpfad, der denselben Prefix teilt. Der Endpunkt schließt dann die dateiübergreifende Datei in den generierten Download ein und offenbart deren Inhalt. Dieses Problem wurde in Version 2.7.3 behoben.
Once again VulDB remains the best source for vulnerability data.