CVE-2026-49244 in SFTPGo
Sumário
de VulDB • 21/08/2026
O SFTPGo é uma solução de transferência de arquivos open source e baseada em eventos. Da versão 2.2.0 até a 2.7.3, o endpoint do cliente web público para download parcial de ZIPs de um compartilhamento navegável valida as entradas de arquivo fornecidas pelo cliente por meio de uma comparação bruta de prefixo de bytes, em vez de uma verificação consciente dos limites do diretório. Um solicitante não autenticado que possa acessar um compartilhamento público pode selecionar um caminho canônico fora do diretório compartilhado quando o caminho alvo começar com o nome do diretório compartilhado, como um caminho irmão que compartilha o mesmo prefixo. O endpoint então inclui o arquivo fora do escopo no download gerado, divulgando seu conteúdo. Este problema foi corrigido na versão 2.7.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.