PT-2026-65623
CVE-2026-62325
·
تاريخ النشر
2026-07-28
·
تاريخ التحديث
2026-09-04
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات goshs من 2.1.3 إلى 2.1.3
الوصف
يوجد ثغرة في مكون خادم SFTP تسمح بتجاوز المصادقة عند تشغيل التطبيق باستخدام سلسلة مصادقة أساسية تحتوي على اسم مستخدم ولكن كلمة مرور فارغة (على سبيل المثال،
-b ’admin:‘)، مع تمكين العلامة -sftp وتعطيل العلامة -fkf. تنشأ المشكلة من استخدام عامل ”AND“ المنطقي (&&) في معالج كلمة المرور sftpserver/sftpserver.go. إذا كان اسم المستخدم أو كلمة المرور فارغًا، فلن يتم تهيئة PasswordHandler. وعندما يكون كل من PasswordHandler وPublicKeyHandler غير محددين، تقوم مكتبة SSH الأساسية بتعيين NoClientAuth إلى true، مما يسمح للمستخدمين غير المصادق عليهم بالوصول إلى الملفات، بما في ذلك قراءتها وكتابتها وحذفها وإعادة تسميتها.التوصيات
قم بتحديث goshs إلى الإصدار 2.1.4.
كحل مؤقت، تجنب تشغيل الخادم بكلمة مرور فارغة في سلسلة المصادقة الأساسية عند استخدام SFTP بدون ملفات المفتاح العام.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾