PT-2024-40545 · Unknown+2 · Goyave.Dev/Goyave/V5/Util/Fsutil+2
Publicado
2024-12-13
·
Atualizado
2024-12-13
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas:
Aplicativo Go que utiliza router.Static e osfs.FS (versões afetadas não especificadas)
Descrição:
A vulnerabilidade permite que clientes acessem qualquer arquivo no sistema de arquivos do host utilizando caminhos relativos, pois o caminho solicitado não é sanitizado e os segmentos . e .. são aceitos. Os arquivos serão retornados como resposta, desde que o usuário do sistema que executa o aplicativo Go tenha acesso de leitura ao arquivo solicitado.
Recomendações:
Como solução alternativa, use fsutil.NewEmbed(embeddedFS) do pacote goyave.dev/goyave/v5/util/fsutil para servir conteúdo estático usando Router.Static em vez de &osfs.FS. Isso garantirá que os sistemas de arquivos incorporados tenham como raiz o diretório especificado, tornando impossível navegar fora do diretório pretendido pelos desenvolvedores.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Go
Goyave.Dev/Goyave/V5/Util/Fsutil
Osfs.Fs