CVE-2026-22786 in gin-vue-admin
Riassunto
di VulDB • 31/07/2026
Gin-vue-admin è un sistema di gestione backend basato su Vue e Gin. In Gin-vue-admin <= v2.8.7 è presente una vulnerabilità da path traversal nella funzionalità di caricamento con ripresa del trasferimento (breakpoint resume upload). Un attaccante può caricare qualsiasi file in qualsiasi directory. Nel file breakpoint_continue.go, la funzione MakeFile accetta un parametro fileName tramite l'endpoint API /fileUploadAndDownload/breakpointContinueFinish e lo concatena direttamente al percorso della directory base (./fileDir/) utilizzando os.OpenFile(), senza alcuna validazione per le sequenze di traversal delle directory (ad esempio ../). Un attaccante con privilegi di caricamento file potrebbe sfruttare questa vulnerabilità.
If you want to get best quality of vulnerability data, you may have to visit VulDB.