CVE-2026-103028 Evasión del filtro de patrones de archivo de origen en copias de SFTPGo

Qué es CVE-2026-103028

Desde 2.5.0 hasta 2.7.6, un usuario autenticado con permiso de copia puede copiar un archivo de origen denegado por denied_patterns o fuera de allowed_patterns a un nombre de destino permitido, porque los filtros de patrones solo se evalúan en el destino; luego puede leer el contenido del archivo denegado. Las copias recursivas de directorios pueden reproducir contenido restringido bajo una ruta permitida y se evade la política de ocultamiento, ya que archivos que no aparecen en stat ni en los listados de…

Productos y versiones afectadas

• drakkan sftpgo

  • >= 2.5.0, < 2.7.6

Qué hacer

1. Verificá si usás sftpgo y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

SFTPGo is an open source, event-driven file transfer solution. From 2.5.0 until 2.7.6, an authenticated user with copy permission can copy a source file denied by denied_patterns or outside allowed_patterns to an allowed destination name because file-pattern filters are evaluated only on the destination. The user can then read the denied file contents. Recursive directory copies can reproduce restricted contents under an allowed path, and the hide policy is bypassed because files that appear missing to stat and directory listings can still be copied. Home-directory boundaries, virtual-folder layout, per-directory permissions, access to other accounts, and administrative authorization remain enforced. This issue is fixed in 2.7.6.

Referencias

• github.com/drakkan/sftpgo/security/advisories/GHSA-wwv9-g5x4-966qX_REFSOURCE_CONFIRM
• github.com/drakkan/sftpgo/commit/dc8886bc079094b4ac2338df683f358b7676b5ebX_REFSOURCE_MISC
• github.com/drakkan/sftpgo/releases/tag/v2.7.6X_REFSOURCE_MISC

Historial de la alerta

1. 13 OCT · 12:44VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.