CVE-2026-49244 in SFTPGo
Résumé
par VulDB • 21/08/2026
SFTPGo est une solution de transfert de fichiers open source pilotée par des événements. De la version 2.2.0 à la 2.7.3, le point d'accès (endpoint) public permettant le téléchargement partiel d'archives ZIP pour un partage consultable valide les entrées de fichiers fournies par le client via une comparaison brute de préfixes octets plutôt que par une vérification consciente des limites de répertoire. Un requérant non authentifié pouvant accéder à un partage public peut sélectionner un chemin canonique situé en dehors du répertoire partagé lorsque le chemin cible commence par le nom du répertoire partagé, comme dans le cas d'un chemin frère partageant le même préfixe. Le point d'accès inclut alors le fichier hors périmètre dans le téléchargement généré, divulguant ainsi son contenu. Ce problème est corrigé dans la version 2.7.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.