perfree go-fastdfs-web doInstall InstallController.java improper authorization

Er is een foutieve autorisatiefout ontdekt in perfree go-fastdfs-web tot versie 1.3.7. De kwetsbaarheid bevindt zich in de doInstall-interface in het bestand src/main/java/com/perfree/controller/InstallController.java. Een externe aanvaller kan deze fout uitbuiten om ongeautoriseerde toegang te krijgen tot resources of acties uit te voeren. De ernst van de kwetsbaarheid wordt beoordeeld als 7.3 op de CVSS-schaal. Het gebrek aan reactie van de leverancier op de vroege openbaarmaking van deze publiekelijk beschikbare kwetsbaarheid verergert de situatie en stelt gebruikers aan aanzienlijk risico bloot. Een succesvolle exploitatie kan de integriteit en vertrouwelijkheid van de gegevens die door het go-fastdfs-web-systeem worden opgeslagen en beheerd, in gevaar brengen.

Organizations deploying go-fastdfs-web in production environments, particularly those with exposed instances accessible from the internet, are at significant risk. Shared hosting environments where multiple users share the same go-fastdfs-web instance are also vulnerable, as a compromise of one user could potentially lead to the compromise of others. Systems with legacy configurations or those lacking robust network security controls are especially susceptible.

• java / server:

grep -r 'doInstall' /path/to/go-fastdfs-web/src/main/java/

• generic web:

curl -I http://your-server/install | grep -i '200 OK'

• generic web:

curl -I http://your-server/install/ | grep -i '403 Forbidden'

1. 2026-04-11Disclosure

   disclosure

1. Gereserveerd2026-04-11
2. Gepubliceerd2026-04-11
3. Gewijzigd2026-04-13
4. EPSS bijgewerkt2026-04-19

Gezien het ontbreken van een oplossing van de leverancier, omvat de onmiddellijke mitigatie het upgraden naar een latere versie van go-fastdfs-web indien beschikbaar. Indien een upgrade niet mogelijk is, wordt aanbevolen om strikte toegangscontroles te implementeren in de omgeving waar go-fastdfs-web wordt uitgevoerd. Dit omvat het configureren van firewalls, het beperken van de toegang tot de doInstall-interface tot alleen geautoriseerde gebruikers en het continu monitoren van het systeem op tekenen van exploitatie. Verder wordt aanbevolen om bestaande beveiligingsbeleid te herzien en te versterken om een gelaagde verdediging tegen potentiële aanvallen te waarborgen. Het gebrek aan reactie van de leverancier benadrukt het belang van zelfbescherming en proactieve beveiligingspraktijken.