‹ Volver al listado

CVE-2026-103028

Estado: AplazadaMedia (4.3)—
Gravedad4.3Media · CVSS 3.1
Probabilidad de explotación0.22 %mayor que el 12 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

SFTPGo es una solución de transferencia de archivos de código abierto y basada en eventos. Desde la versión 2.5.0 hasta la 2.7.6, un usuario autenticado con permiso de copia puede copiar un archivo de origen denegado por denied_patterns o situado fuera de allowed_patterns a un nombre de destino permitido, ya que los filtros de patrones de archivos solo se evalúan sobre el destino. El usuario puede entonces leer el contenido del archivo denegado.

Leer descripción completaMostrar menos

Las copias recursivas de directorios pueden reproducir contenido restringido bajo una ruta permitida, y la política de ocultación se elude porque los archivos que aparecen como inexistentes para stat y para los listados de directorios aún pueden copiarse. Los límites del directorio personal, la disposición de las carpetas virtuales, los permisos por directorio, el acceso a otras cuentas y la autorización administrativa siguen aplicándose. Este problema se ha corregido en la versión 2.7.6.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
4.3
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.22 %
Percentil entre todas las CVEs puntuadas
12
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/PR:L/UI:N: usuario autenticado con permiso de copia lee ficheros denegados (T1005) y descubre los ocultos mediante copia (T1083).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningThreat Intelligence ProgramPrivileged Account ManagementNetwork SegmentationDisable or Remove Feature or ProgramApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Sftpgo — SftpgoAI

CWE

Referencias

Mostrar las 3 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-103028",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-103028",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-14T14:58:17.350907Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 4.3,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 1.4,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "drakkan",
          "product": "sftpgo",
          "versions": [
            {
              "status": "affected",
              "version": ">= 2.5.0, < 2.7.6"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-13T15:17:30.653",
  "references": [
    {
      "url": "https://github.com/drakkan/sftpgo/commit/dc8886bc079094b4ac2338df683f358b7676b5eb",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/drakkan/sftpgo/releases/tag/v2.7.6",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/drakkan/sftpgo/security/advisories/GHSA-wwv9-g5x4-966q",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-863"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "SFTPGo is an open source, event-driven file transfer solution. From 2.5.0 until 2.7.6, an authenticated user with copy permission can copy a source file denied by denied_patterns or outside allowed_patterns to an allowed destination name because file-pattern filters are evaluated only on the destination. The user can then read the denied file contents. Recursive directory copies can reproduce restricted contents under an allowed path, and the hide policy is bypassed because files that appear missing to stat and directory listings can still be copied. Home-directory boundaries, virtual-folder layout, per-directory permissions, access to other accounts, and administrative authorization remain enforced. This issue is fixed in 2.7.6."
    }
  ],
  "lastModified": "2026-10-14T15:17:03.713",
  "sourceIdentifier": "security-advisories@github.com"
}