CVE-2026-49245

Nome do Software Vulnerável e Versões Afetadas SFTPGo versões anteriores a 2.7.3

Description Um problema de Cross-Site Scripting (XSS) armazenado existe onde o parâmetro de consulta inline nos endpoints de download de arquivos de compartilhamentos navegáveis e de download de arquivos de usuários autenticados suprime o cabeçalho Content-Disposition: attachment. Isso permite que um arquivo HTML armazenado em um compartilhamento ou diretório home seja servido como text/html e executado na origem web do SFTPGo. A exploração requer que um invasor faça o upload de um arquivo manipulado e que uma vítima abra o link por meio de engenharia social. Como os cookies de sessão são HttpOnly, eles não podem ser lidos pelo script injetado.

Recommendations Atualize para a versão 2.7.3.