Goploy シンボリックリンク追跡で任意のファイルを読まれるおそれ
Summary
Goploy 1.18.0 から 1.18.1 未満では、/deploy/fileDiff と /deploy/fileCompare のエンドポイントでリンクを辿る脆弱性があり、認証済みのメンバーが任意のファイルを読み取れるおそれがあります。対策として 1.18.1 以降へアップデートしてください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Goploy 1.18.0 から 1.18.1 未満では、/deploy/fileDiff と /deploy/fileCompare のエンドポイントでリンクを辿る脆弱性があり、認証済みのメンバーが任意のファイルを読み取れるおそれがあります。対策として 1.18.1 以降へアップデートしてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| zhenorzz | goploy |
≥ 1.18.0, < 1.18.1 |
1.18.1 |
Original description The description as published by the source.
Goploy 1.18.0 before 1.18.1 contains a link following vulnerability in the /deploy/fileDiff and /deploy/fileCompare endpoints that allows authenticated members to read arbitrary files. Attackers with repository write access can commit a symlink pointing outside the project directory to read database configuration and deployment SSH private keys.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com