perfree go-fastdfs-web doInstall InstallController.java unzureichende Autorisierung

Eine fehlerhafte Autorisierung wurde in perfree go-fastdfs-web bis zur Version 1.3.7 festgestellt. Die Schwachstelle befindet sich in der doInstall-Schnittstelle in der Datei src/main/java/com/perfree/controller/InstallController.java. Ein Remote-Angreifer könnte diese Schwachstelle ausnutzen, um unbefugten Zugriff auf Ressourcen zu erhalten oder Aktionen auszuführen. Die Schwere der Schwachstelle wird mit 7.3 auf der CVSS-Skala bewertet. Das Ausbleiben einer Reaktion des Anbieters auf die frühzeitige Meldung dieser öffentlich zugänglichen Schwachstelle verschärft die Situation und setzt Benutzer einem erheblichen Risiko aus. Eine erfolgreiche Ausnutzung könnte die Integrität und Vertraulichkeit der Daten gefährden, die vom go-fastdfs-web-System gespeichert und verwaltet werden.

Organizations deploying go-fastdfs-web in production environments, particularly those with exposed instances accessible from the internet, are at significant risk. Shared hosting environments where multiple users share the same go-fastdfs-web instance are also vulnerable, as a compromise of one user could potentially lead to the compromise of others. Systems with legacy configurations or those lacking robust network security controls are especially susceptible.

• java / server:

grep -r 'doInstall' /path/to/go-fastdfs-web/src/main/java/

• generic web:

curl -I http://your-server/install | grep -i '200 OK'

• generic web:

curl -I http://your-server/install/ | grep -i '403 Forbidden'

1. 2026-04-11Disclosure

   disclosure

1. Reserviert2026-04-11
2. Veröffentlicht2026-04-11
3. Geändert2026-04-13
4. EPSS aktualisiert2026-04-19

Angesichts des fehlenden Korrekturangebots des Anbieters besteht die unmittelbare Mitigation darin, auf eine spätere Version von go-fastdfs-web zu aktualisieren, falls verfügbar. Wenn ein Upgrade nicht möglich ist, wird empfohlen, strenge Zugriffskontrollen in der Umgebung zu implementieren, in der go-fastdfs-web ausgeführt wird. Dies umfasst die Konfiguration von Firewalls, die Beschränkung des Zugriffs auf die doInstall-Schnittstelle auf autorisierte Benutzer und die kontinuierliche Überwachung des Systems auf Anzeichen einer Ausnutzung. Darüber hinaus wird empfohlen, bestehende Sicherheitsrichtlinien zu überprüfen und zu verstärken, um eine mehrschichtige Verteidigung gegen potenzielle Angriffe zu gewährleisten. Das Ausbleiben einer Reaktion des Anbieters unterstreicht die Bedeutung des Selbstschutzes und proaktiver Sicherheitspraktiken.