CVE-2026-53552 in Goploy
Tóm tắt
Bởi VulDB • 31/08/2026
Goploy là một hệ thống triển khai tự động mã nguồn mở. Trong các phiên bản 1.17.5 và trước đó, Project.AddFile, Project.EditFile, Project.RemoveFile và Project.Edit trong cmd/server/api/project/handler.go chấp nhận id hàng project hoặc file từ thân JSON (JSON body) và thực hiện hành động trên nó mà không kiểm tra xem dự án có thuộc về namespace của người gọi hay không. Các truy vấn model.ProjectFile.GetData và model.Project.GetData tương ứng chỉ lọc theo id hàng. Một người dùng giữ vai trò quản lý (hoặc bất kỳ vai trò nào bao gồm quyền FileSync / EditProject) trong namespace của riêng họ có thể đọc, ghi hoặc xóa các tệp trong mọi dự án trên toàn bộ cài đặt, và có thể ghi lại URL remote git của bất kỳ dự án nào bằng cách gửi id nước ngoài trong thân yêu cầu. Nguyên lý git-URL này dẫn đến RCE (Thực thi mã từ xa) trong lần triển khai tiếp theo vì hàm Edit chạy lệnh `git remote set-url` trên cây làm việc của dự án. Tại thời điểm công bố, không có bản vá lỗi nào được biết là đã phát hành rộng rãi.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.