Vulnerabilidad en godoxy de yusing (CVE-2026-33528)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)

Fecha de publicación:

26/03/2026

Última modificación:

02/04/2026

Descripción

GoDoxy es un proxy inverso y orquestador de contenedores para autoalojadores. Antes de la versión 0.27.5, el endpoint de la API de contenido de archivos en &#39;/api/v1/file/content&#39; es vulnerable a salto de ruta. El parámetro de consulta &#39;filename&#39; se pasa directamente a &#39;path.Join(common.ConfigBasePath, filename)&#39; donde &#39;ConfigBasePath = "config"&#39; (una ruta relativa). No se aplica ninguna sanitización ni validación más allá de verificar que el campo no esté vacío (&#39;binding:"required"&#39;). Un atacante autenticado puede usar secuencias &#39;../&#39; para leer o escribir archivos fuera del directorio &#39;config/&#39; previsto, incluyendo claves privadas TLS, tokens de actualización de OAuth y cualquier archivo accesible al UID del contenedor. La versión 0.27.5 soluciona el problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno