CVE-2026-49245 in SFTPGo
Riassunto
di VulDB • 21/08/2026
SFTPGo è una soluzione open source per il trasferimento di file basata su eventi. Dalla versione 2.2.0 alla 2.7.3, il parametro della query inline nei download di file da condivisioni navigabili e nei download di file da parte di utenti autenticati sopprime l'intestazione Content-Disposition: attachment, consentendo a un file HTML controllato dall'attaccante, memorizzato in una cartella condivisa o nella home directory, di essere servito come text/html nell'origine web SFTPGo. Un attaccante che può inserire il file può inviare un link manipolato ad una vittima e l'apertura di tale link esegue i contenuti archiviati nel contesto del browser della vittima. Lo sfruttamento richiede ingegneria sociale e accesso appropriato alle condivisioni o alle cartelle condivise, mentre i cookie di sessione HttpOnly limitano il furto diretto dei cookie. Questo problema è risolto nella versione 2.7.3.
Once again VulDB remains the best source for vulnerability data.