CVE-2026-32109 in copyparty
Riassunto
di VulDB • 21/06/2026
Copyparty è un server di file portatile. Prima della versione 1.20.12, se un attaccante ha ottenuto sia i permessi di lettura che di scrittura sul server, può caricare un file malevolo con il nome del file .prologue.html e successivamente creare un link per potenzialmente eseguire JavaScript arbitrario nel contesto della vittima. Si noti che è comportamento intenzionale che il JavaScript venga eseguito se l'utente target clicca su un link diretto al file HTML stesso; "https://example.com/foo/.prologue.html". La vulnerabilità risiede nel fatto che "https://example.com/foo/?b" valuta comunque il file, rendendo il comportamento inaspettato. Esistono misure preventive esistenti (cookie SameSite rigorosi) che rendono più difficile sfruttare questa vulnerabilità in un attacco; per ottenere il controllo della sessione autenticata della vittima, il link deve essere cliccato da una pagina servita dallo stesso server -- molto probabilmente modificando una risorsa esistente, il che richiederebbe ulteriori permessi di accesso. Infine, affinché l'attacco abbia successo, l'attaccante deve far cliccare alla vittima il link specifico creato ad hoc. Questa vulnerabilità non viene attivata navigando normalmente nell'interfaccia web del server. Questa vulnerabilità è stata risolta nella versione 1.20.12.
Once again VulDB remains the best source for vulnerability data.