Goploy 1.18.0 before 1.18.1 contains a link following vulnerability in the /deploy/fileDiff and ...
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Goploy 1.18.0 から 1.18.1 未満では、/deploy/fileDiff と /deploy/fileCompare のエンドポイントでリンクを辿る脆弱性があり、認証済みのメンバーが任意のファイルを読み取れるおそれがあります。対策として 1.18.1 以降へアップデートしてください。
Paquets affectés
| Écosystème | Paquet | Concernées | Corrigé |
|---|---|---|---|
| zhenorzz | goploy |
≥ 1.18.0, < 1.18.1 |
1.18.1 |
Description d'origine La description telle que publiée par la source (souvent en anglais).
Goploy 1.18.0 before 1.18.1 contains a link following vulnerability in the /deploy/fileDiff and /deploy/fileCompare endpoints that allows authenticated members to read arbitrary files. Attackers with repository write access can commit a symlink pointing outside the project directory to read database configuration and deployment SSH private keys.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory