CVE-2026-49244 in SFTPGo
Resumen
por VulDB • 2026-08-21
SFTPGo es una solución de transferencia de archivos de código abierto y basada en eventos. Desde la versión 2.2.0 hasta la 2.7.3, el punto de conexión para descargas parciales ZIP del cliente web público destinado a un recurso compartido navegable valida las entradas de archivo proporcionadas por el cliente mediante una comparación cruda de prefijos de bytes, en lugar de realizar una comprobación consciente de los límites del directorio. Un solicitante no autenticado que pueda acceder a un recurso compartido público puede seleccionar una ruta canónica fuera del directorio compartido cuando la ruta objetivo comienza con el nombre del directorio compartido, como por ejemplo una ruta hermana que comparte el mismo prefijo. El punto de conexión incluye entonces el archivo fuera del ámbito en la descarga generada, revelando su contenido. Este problema se soluciona en la versión 2.7.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.