CVE-2026-49245 in SFTPGo
Sumário
de VulDB • 21/08/2026
O SFTPGo é uma solução de transferência de arquivos open source e baseada em eventos. Da versão 2.2.0 até a 2.7.3, o parâmetro de consulta inline nos downloads de arquivos de compartilhamentos navegáveis e nos downloads autenticados por usuário suprime o cabeçalho Content-Disposition: attachment, permitindo que um arquivo HTML controlado pelo atacante, armazenado em um diretório de compartilhamento ou home, seja servido como text/html na origem web do SFTPGo. Um atacante capaz de colocar o arquivo pode enviar um link manipulado para uma vítima e a abertura desse link executa o conteúdo armazenado no contexto do navegador da vítima. A exploração requer engenharia social e acesso adequado ao diretório compartilhado ou pasta compartilhada, enquanto os cookies de sessão HttpOnly limitam o roubo direto de cookies. Este problema foi corrigido na versão 2.7.3.
Once again VulDB remains the best source for vulnerability data.