Vulnerabilidad en SFTPGo (CVE-2025-24366)

SFTPGo es una solución de transferencia de archivos basada en eventos y de código abierto. SFTPGo admite la ejecución de un conjunto definido de comandos a través de SSH. Además de un conjunto de comandos predeterminados, se pueden activar algunos comandos opcionales, uno de ellos es `rsync`. Está deshabilitado en la configuración predeterminada y está limitado al sistema de archivos local; no funciona con backends de almacenamiento remoto o en la nube. Debido a la falta de depuración del comando `rsync` proporcionado por el cliente, un usuario remoto autenticado puede usar algunas opciones del comando rsync para leer o escribir archivos con los permisos del proceso del servidor SFTPGo. Este problema se solucionó en la versión v2.6.5 al verificar los argumentos proporcionados por el cliente. Se recomienda a los usuarios que actualicen. No existen workarounds para esta vulnerabilidad.