Vulnerabilidad en sftpgo (CVE-2024-52801)

Gravedad CVSS v4.0:

MEDIA

Tipo:

CWE-327 Uso de algoritmo criptográfico vulnerable o inseguro

Fecha de publicación:

29/11/2024

Última modificación:

15/04/2026

Descripción

sftpgo es una solución de transferencia de archivos basada en eventos, altamente configurable y con todas las funciones. Protocolos de servidor: SFTP, HTTP/S, FTP/S, WebDAV. La implementación de OpenID Connect permite a los usuarios autenticados forzar las cookies de sesión y, de ese modo, obtener acceso a los datos de otros usuarios, ya que las cookies se generan de manera predecible utilizando la librería xid y, por lo tanto, son únicas pero no criptográficamente seguras. Este problema se solucionó en la versión v2.6.4, donde las cookies son cadenas opacas y criptográficamente seguras. Se recomienda a todos los usuarios que actualicen. No existen workarounds conocidos para esta vulnerabilidad.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Bajo
Integrity (VI): Bajo
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

5.30

Gravedad 4.0

MEDIA

Vulnerabilidad en sftpgo (CVE-2024-52801)

Descripción

Impacto

Referencias a soluciones, herramientas e información