perfree go-fastdfs-web doInstall Improper authorization dans InstallController.java

Une vulnérabilité d'autorisation incorrecte a été identifiée dans perfree go-fastdfs-web jusqu'à la version 1.3.7. La vulnérabilité réside dans l'interface doInstall située dans le fichier src/main/java/com/perfree/controller/InstallController.java. Un attaquant distant pourrait exploiter cette faille pour obtenir un accès non autorisé aux ressources ou exécuter des actions. La sévérité de la vulnérabilité est notée 7.3 sur l'échelle CVSS. Le manque de réponse du fournisseur à l'alerte précoce concernant cette vulnérabilité publiquement disponible aggrave la situation, laissant les utilisateurs exposés à un risque important. Une exploitation réussie pourrait compromettre l'intégrité et la confidentialité des données stockées et gérées par le système go-fastdfs-web.

Organizations deploying go-fastdfs-web in production environments, particularly those with exposed instances accessible from the internet, are at significant risk. Shared hosting environments where multiple users share the same go-fastdfs-web instance are also vulnerable, as a compromise of one user could potentially lead to the compromise of others. Systems with legacy configurations or those lacking robust network security controls are especially susceptible.

• java / server:

grep -r 'doInstall' /path/to/go-fastdfs-web/src/main/java/

• generic web:

curl -I http://your-server/install | grep -i '200 OK'

• generic web:

curl -I http://your-server/install/ | grep -i '403 Forbidden'

1. 2026-04-11Disclosure

   disclosure

1. Réservé2026-04-11
2. Publiée2026-04-11
3. Modifiée2026-04-13
4. EPSS mis à jour2026-04-19

Compte tenu de l'absence de correctif fourni par le fournisseur, la mitigation immédiate consiste à mettre à niveau vers une version ultérieure de go-fastdfs-web si disponible. Si la mise à niveau n'est pas possible, il est recommandé de mettre en œuvre des contrôles d'accès stricts dans l'environnement où go-fastdfs-web est exécuté. Cela inclut la configuration de pare-feu, la restriction de l'accès à l'interface doInstall aux seuls utilisateurs autorisés et la surveillance continue du système à la recherche de signes d'exploitation. Il est également conseillé de revoir et de renforcer les politiques de sécurité existantes afin d'assurer une défense en profondeur contre les attaques potentielles. Le manque de réponse du fournisseur souligne l'importance de l'autoprotection et des pratiques de sécurité proactives.