Gin-vue-admin presenta una vulnerabilidad de subida de archivos arbitrarios causada por un path traversal en github.com/flipped-aurora/gin-vue-admin

La vulnerabilidad de Path Traversal en Gin-vue-admin permite a un atacante subir archivos arbitrarios al servidor. Esto puede ser explotado para subir archivos maliciosos, como webshells, que permiten la ejecución remota de código. Un atacante también podría subir archivos que sobrescriban archivos de configuración críticos, alterando el comportamiento de la aplicación. La exposición de archivos sensibles, como contraseñas o claves de API, también es un riesgo significativo. El impacto potencial es alto, ya que un atacante podría obtener control total sobre el servidor y los datos almacenados.

Organizations using Gin-vue-admin in production environments, particularly those with sensitive data or critical applications, are at risk. Environments with weak file upload validation or inadequate access controls are especially vulnerable. Shared hosting environments where multiple users have upload capabilities also face increased risk.

• go / server:

find /var/log/gin-vue-admin -type f -name '*.log' -print0 | xargs -0 grep -i 'file upload'

• generic web:

curl -I <target_url>/upload | grep 'Content-Type'

1. 2026-01-23Disclosure

   disclosure

1. Reservado2026-01-09
2. Publicada2026-01-23
3. Modificada2026-03-03
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2026-22786 es actualizar Gin-vue-admin a la versión 2.8.8 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización no es inmediatamente posible, se recomienda implementar controles de validación de archivos más estrictos en el lado del servidor. Esto incluye verificar la extensión del archivo, el tipo MIME y el tamaño del archivo. Además, se debe implementar una lista blanca de tipos de archivos permitidos y deshabilitar la ejecución de scripts en los archivos subidos. Considerar el uso de un Web Application Firewall (WAF) para bloquear solicitudes maliciosas que intenten explotar la vulnerabilidad. Después de la actualización, confirme que la funcionalidad de carga de archivos funciona correctamente y que no se pueden subir archivos no autorizados.