perfree go-fastdfs-web doInstall Autorização inadequada em InstallController.java

Uma vulnerabilidade de autorização inadequada foi identificada no perfree go-fastdfs-web até a versão 1.3.7. A vulnerabilidade reside na interface doInstall localizada no arquivo src/main/java/com/perfree/controller/InstallController.java. Um atacante remoto pode explorar essa falha para obter acesso não autorizado a recursos ou executar ações. A severidade da vulnerabilidade é classificada como 7.3 na escala CVSS. A falta de resposta do fornecedor ao alerta precoce sobre essa vulnerabilidade publicamente disponível agrava a situação, deixando os usuários expostos a um risco significativo. A exploração bem-sucedida pode comprometer a integridade e a confidencialidade dos dados armazenados e gerenciados pelo sistema go-fastdfs-web.

Organizations deploying go-fastdfs-web in production environments, particularly those with exposed instances accessible from the internet, are at significant risk. Shared hosting environments where multiple users share the same go-fastdfs-web instance are also vulnerable, as a compromise of one user could potentially lead to the compromise of others. Systems with legacy configurations or those lacking robust network security controls are especially susceptible.

• java / server:

grep -r 'doInstall' /path/to/go-fastdfs-web/src/main/java/

• generic web:

curl -I http://your-server/install | grep -i '200 OK'

• generic web:

curl -I http://your-server/install/ | grep -i '403 Forbidden'

1. 2026-04-11Disclosure

   disclosure

1. Reservado2026-04-11
2. Publicada2026-04-11
3. Modificada2026-04-13
4. EPSS atualizado2026-04-19

Diante da falta de uma correção fornecida pelo fornecedor, a mitigação imediata envolve a atualização para uma versão posterior do go-fastdfs-web, se disponível. Se a atualização não for possível, é recomendável implementar controles de acesso rigorosos no ambiente onde o go-fastdfs-web é executado. Isso inclui a configuração de firewalls, a restrição do acesso à interface doInstall apenas a usuários autorizados e o monitoramento contínuo do sistema em busca de sinais de exploração. Além disso, é aconselhável revisar e fortalecer as políticas de segurança existentes para garantir uma defesa em camadas contra possíveis ataques. A falta de resposta do fornecedor sublinha a importância da autoproteção e das práticas de segurança proativas.