CVE-2026-33528 in godoxy
要約
〜によって VulDB • 2026年05月11日
GoDoxyは、セルフホスティングユーザー向けのリバースプロキシおよびコンテナオーケストレーターです。バージョン0.27.5より前では、`/api/v1/file/content` のファイルコンテンツAPIエンドポイントにパストラバーサルの脆弱性が存在します。`filename` クエリパラメータは、`ConfigBasePath = "config"`（相対パス）に対して `path.Join(common.ConfigBasePath, filename)` に直接渡されます。フィールドが空でないことを確認する（`binding:"required"`）以外のサニタイズや検証は適用されません。認証済み攻撃者は `../` シーケンスを使用して、意図された `config/` ディレクトリ外、つまりコンテナのUIDでアクセス可能なTLS秘密鍵、OAuthリフレッシュトークン、および任意のファイルの読み書きを行うことができます。この問題はバージョン0.27.5で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.