CVE-2026-120444

WysokieCVSS 8.1

Opublikowano: 02/11/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 02/11/2026(UTC)NVD NIST

Streszczenie

GoFound do wersji 1.4.1 zawiera podatność path traversal, która pozwala nieuwierzytelnionym atakującym usuwać dowolne katalogi poprzez dostarczenie sekwencji ../ w parametrze database. Atakujący może wysyłać żądania GET do /api/db/create i /api/db/drop, bezpośrednio lub przez przeglądarkę ofiary, wywołując os.RemoveAll na katalogach poza katalogiem danych.

Ocena ryzyka

Umożliwia nieuwierzytelnione usunięcie dowolnych katalogów na serwerze, co może prowadzić do utraty danych i niedostępności usług. Może być wykorzystane do zniszczenia krytycznych zasobów systemowych.

Rekomendacja

Zaktualizuj GoFound do wersji nowszej niż 1.4.1, jeśli jest dostępna, lub wdróż walidację parametru database blokującą sekwencje ../. Ogranicz dostęp do endpointów /api/db/create i /api/db/drop oraz wymagaj uwierzytelniania.

Inne podatności w GoFound

CVE-2026-120443Średnie
GoFound do wersji 1.4.1 zawiera podatność przechowywanego XSS, która pozwala nieuwierzytelnionym atakującym wstrzykiwać skrypty przez przesyłanie tekstu dokumentu do /api/index. Złośliwy HTML jest zwracany bez escapowania przez searcher/engine.go i renderowany przez v-html w dashboard.vue, wykonując skrypt w przeglądarce administratora.

Oryginalny opis (angielski, źródło NVD)

GoFound through 1.4.1 contains a path traversal vulnerability that allows unauthenticated attackers to delete arbitrary directories by supplying ../ sequences in the database parameter. Attackers can send GET requests to /api/db/create and /api/db/drop, directly or via a victim's browser, triggering os.RemoveAll on directories outside the data directory.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS