CVE-2026-112344

ŚrednieCVSS 6.8

Opublikowano: 26/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Syncplify Server! 6.0.0 przed wersją 8.8.0 zawiera podatność path traversal umożliwiającą atakującemu umieszczenie dowiązania symbolicznego w katalogu domowym użytkownika w celu dostępu do plików poza katalogiem głównym wirtualnego systemu plików. Ograniczenia są egzekwowane tylko względem żądanej ścieżki, a nie rzeczywistego celu dowiązania na dysku.

Ocena ryzyka

Atakujący może odczytać lub uzyskać dostęp do plików z ograniczeniami poza zamierzonym katalogiem domowym, co narusza izolację użytkowników i poufność danych.

Rekomendacja

Zaktualizuj Syncplify Server! do wersji 8.8.0 lub nowszej, która prawidłowo egzekwuje ograniczenia względem celu dowiązania.

Inne podatności w Syncplify Server!

CVE-2026-112343Wysokie
Syncplify Server! przed wersją 8.8.0 zawiera podatność polegającą na obejściu kontroli dostępu, która pozwala uwierzytelnionym użytkownikom SFTP ominąć nadpisania uprawnień dla ścieżek. Atakujący może użyć alternatywnej wielkości liter lub krótkiej nazwy 8.3, aby uzyskać dostęp do chronionego katalogu.

Oryginalny opis (angielski, źródło NVD)

Syncplify Server! 6.0.0 before 8.8.0 contains a path traversal vulnerability that allows attackers with a symbolic link placed inside a user's home folder to access files outside the virtual filesystem root because confinement is enforced only against the requested path and not the on-disk destination of the link. Attackers can leverage a symlink or, on Windows, a directory junction that points outside the jail to read or access restricted files beyond the intended home-folder boundary.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS