Copyparty ftp/sftp: Sharing a single file did not fully restrict source-folder access
There was a missing permission-check in the shares feature (the shr global-option).
This vulnerability only applies in the following scenario:
- The shares feature is used for the specific purpose of creating a share of just a single file inside a folder
- Either the FTP or SFTP server is enabled, and also made publically accessible
- If a share is password-protected, then SFTP was not vulnerable unless the
sftp-pwglobal-option was also enabled
- If a share is password-protected, then SFTP was not vulnerable unless the
Given these conditions, when a user is browsing a share through either FTP or SFTP (not http or https), they can gain read-access to the remaining files inside the shared folder by guessing/bruteforcing the filenames.
It was not possible to descend into subdirectories in this manner; only the sibling files were accessible.
This issue did not affect filekeys or dirkeys.
This vulnerability is CVE-2025-58753 which was previously fixed for HTTP and HTTPS, but not for FTP. The FTPS server did not yet exist at that time.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | copyparty | < 1.20.12 | 1.20.12 |
Odnośniki
- Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N- Słabość (CWE)
CWE-863- Platforma
- Python (PyPI)
- Paczka
copyparty- Ujawniono
- 11.03.2026
- Aktualizacja
- 11.10.2026 12:19
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-31 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-67rw-2x62-mqqm - CC BY 4.0
Historia podatności: copyparty
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 14
- Pierwsza → ostatnia
- 07.2023 08.2026
- Bez poprawki
- 1
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 3
- Średnia 8
- Niska 3
Ujawnienia w latach
- 2023: 3
- 2024: 0
- 2025: 6
- 2026: 5
-
Copyparty ftp/sftp: Sharing a single file did not fully restrict source-folder access ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.