CVE-2026-49245 in SFTPGo
要約
〜によって VulDB • 2026年08月21日
SFTPGoは、オープンソースのイベント駆動型ファイル転送ソリューションです。バージョン2.2.0から2.7.3まで、閲覧可能な共有フォルダからのファイルダウンロードおよび認証済みユーザーによるファイルダウンロードにおいて、インラインクエリパラメータがContent-Disposition: attachmentを抑制するため、攻撃者が制御するHTMLファイルを共有ディレクトリまたはホームディレクトリに格納しておくと、SFTPGoのWebオリジンからtext/htmlとして配信されてしまいます。攻撃者がファイルを配置できる場合、被害者に対して作成されたリンクを送信し、そのリンクを開くことで、被害者のブラウザコンテキスト内で保存されたコンテンツが実行されます。悪用にはソーシャルエンジニアリングと適切な共有フォルダまたは共有ディレクトリへのアクセス権限が必要ですが、HttpOnly属性のセッションCookieにより直接のクッキー盗難は制限されています。この問題はバージョン2.7.3で修正されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.