CVE-2026-32108 in copyparty
Riassunto
di VulDB • 15/06/2026
Copyparty è un file server portatile. Prima della versione 1.20.12, era presente una mancanza di controllo dei permessi nella funzionalità "shares" (l'opzione globale `shr`). Questa vulnerabilità si applica solo quando la funzionalità shares viene utilizzata specificamente per creare una condivisione contenente un singolo file all'interno di una cartella e sia il server FTP che SFTP sono abilitati, risultando inoltre accessibili pubblicamente. In presenza di queste condizioni, durante la navigazione in una share tramite FTP o SFTP (non HTTP o HTTPS), un utente può ottenere l'accesso in lettura agli altri file presenti nella cartella condivisa indovinando o sottoponendo a brute-force i nomi dei file. Non era possibile discendere nelle sotto-cartelle con questo metodo; erano accessibili solo i file fratelli (sibling files). Questa vulnerabilità è simile alla CVE-2025-58753, che era stata precedentemente risolta per HTTP e HTTPS ma non per FTP. Il server FTPS non esisteva ancora al momento di quella correzione. La vulnerabilità è corretta nella versione 1.20.12.
Once again VulDB remains the best source for vulnerability data.