CVE-2026-53552 in Goploy
Сводка
по VulDB • 31.08.2026
Goploy — это система развертывания с открытым исходным кодом. В версиях 1.17.5 и более ранних функциям Project.AddFile, Project.EditFile, Project.RemoveFile и Project.Edit в файле cmd/server/api/project/handler.go передается идентификатор строки проекта или файла проекта из тела JSON-запроса, при этом не проверяется принадлежность проекта к пространству имен вызывающего пользователя. Соответствующие запросы model.ProjectFile.GetData и model.Project.GetData фильтруют данные только по идентификатору строки. Пользователь с ролью менеджера (или любой другой роли, включающей разрешения FileSync или EditProject) в своем собственном пространстве имен может читать, изменять или удалять файлы в любом проекте во всей инсталляции, а также перезаписывать URL-адрес git remote любого проекта путем передачи чужого идентификатора в теле запроса. Примитив с URL-адресом git приводит к выполнению кода на стороне удаленного узла (RCE) при следующем развертывании, поскольку функция Edit выполняет команду `git remote set-url` для рабочей области проекта. На момент публикации известных общедоступных исправлений не существует.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.