Към съдържанието
Търсене

CVE-2026-30915: drakkan sftpgo, обхождане на път

5.3

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

SFTPGo is an open source, event-driven file transfer solution. SFTPGo versions before v2.7.1 contain an input validation issue in the handling of dynamic group paths, for example, home directories or key prefixes. When a group is configured with a dynamic home directory or key prefix using placeholders like %username%, the value replacing the placeholder is not strictly sanitized against relative path components. Consequently, if a user is created with a specially crafted username the resulting path may resolve to a parent directory instead of the intended sub-directory. This issue is fixed in version v2.7.1

Засегнати продукти

  • drakkan sftpgo: >= 2.3.0, < 2.7.1

Вид слабост

История

  • 13 март 2026 Публикувано

Други уязвимости в drakkan sftpgo

Първоизточници

CVE-2026-30915: drakkan sftpgo, обхождане на път | freedomonline.bg