- Yama var
- Son 7 gün
- CWE-59
CVE-2026-114665
Goploy'da sembolik bağlantı takibi nedeniyle /deploy/fileDiff ve /deploy/fileCompare üzerinden keyfi dosya okuma
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Goploy 1.18.0 ile 1.18.1 öncesi sürümler, /deploy/fileDiff ve /deploy/fileCompare uç noktalarında bağlantı takibi (link following) açığı içermektedir. Bu açık, kimliği doğrulanmış üyelerin keyfi dosyaları okumasına olanak tanır. Depoya yazma erişimine sahip saldırganlar, proje dizini dışını gösteren bir sembolik bağlantıyı depoya ekleyerek veritabanı yapılandırma dosyalarını ve dağıtım SSH özel anahtarlarını okuyabilir.
Kaynaktaki açıklama (İngilizce)
Goploy 1.18.0 before 1.18.1 contains a link following vulnerability in the /deploy/fileDiff and /deploy/fileCompare endpoints that allows authenticated members to read arbitrary files. Attackers with repository write access can commit a symlink pointing outside the project directory to read database configuration and deployment SSH private keys.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| zhenorzz goploy | ≥ 1.18.0, < 1.18.1 | 1.18.1 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…goploy/security/advisories/GHSA-4g5x-hcwm-82jw Üretici bülteni
- github.com/…ommit/97a49839cc27470f4e804d985fbd2bddac085a3a Yama
- vulncheck.com/…ead-via-deploy-filediff-and-deploy-filecompare Üçüncü taraf
- github.com/zhenorzz/goploy/releases/tag/v1.18.1 Diğer
- github.com/…/blob/v1.18.0/cmd/server/api/deploy/handler.go Diğer
- github.com/zhenorzz/goploy Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.