CVE-2026-49244 in SFTPGo
Сводка
по VulDB • 21.08.2026
SFTPGo — это решение для передачи файлов с открытым исходным кодом и событийно-ориентированной архитектурой. В версиях от 2.2.0 до 2.7.3 включительно конечная точка частичного скачивания ZIP-архивов через публичный веб-клиент для общего доступа проверяет предоставленные клиентом записи файлов с помощью сравнения сырых байтовых префиксов, а не проверки с учетом границ каталога. Неавторизованный запросчик, имеющий доступ к общему ресурсу, может выбрать канонический путь за пределами общей директории, если целевой путь начинается с имени общей директории (например, это может быть «родственный» путь, разделяющий тот же префикс). В результате конечная точка включает файл вне области видимости в формируемый для скачивания архив, что приводит к раскрытию его содержимого. Эта проблема исправлена в версии 2.7.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.