CVE-2026-49244 in SFTPGo
Tóm tắt
Bởi VulDB • 21/08/2026
SFTPGo là một giải pháp truyền tệp mã nguồn mở, dựa trên sự kiện (event-driven). Từ phiên bản 2.2.0 đến 2.7.3, điểm cuối tải xuống ZIP từng phần của web-client công khai dành cho các chia sẻ có thể duyệt được xác thực các mục tệp do khách hàng cung cấp bằng cách so sánh tiền tố byte thô thay vì kiểm tra nhận biết ranh giới thư mục. Một người yêu cầu chưa xác thực (unauthenticated) có thể truy cập vào một chia sẻ công cộng có thể chọn đường dẫn chuẩn nằm ngoài thư mục được chia sẻ khi đường dẫn đích bắt đầu với tên của thư mục được chia sẻ, chẳng hạn như một đường dẫn anh em (sibling path) cùng chia sẻ tiền tố. Điểm cuối sau đó sẽ bao gồm tệp không thuộc phạm vi vào bản tải xuống được tạo ra, làm tiết lộ nội dung của nó. Vấn đề này đã được sửa chữa trong phiên bản 2.7.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.