p PatchFirst

CVE-2026-118756

CVE-2026-118756 · gopass before 1.17.0 Path Traversal via fs Storage Prune and IsDir

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

gopass before 1.17.0 contains a path traversal vulnerability in the filesystem storage backend that allows attackers to delete directories outside the password store via ../ entry names in Prune and IsDir. Collaborators with write access to a shared git-synced store can introduce crafted entries, causing a victim's recursive gopass rm -r to delete arbitrary directory trees.

CVSS 6.7 · Media · EPSS 0,1% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • gopass

    Versiones
    • ≥ 0, < 1.17.0: Afectada (semver)

    Actualiza a 1.17.0

  • gopass Ubuntu:18.04:LTS

    Versiones
    • 1.0.6-2
    • 1.0.7-1
    • 1.0.8-1
    • 1.0.8-2
    • 1.2.0-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • gopass Ubuntu:20.04:LTS

    Versiones
    • 1.2.0-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • gopass Ubuntu:22.04:LTS

    Versiones
    • 1.4.1-1
    • 1.5.0-1
    • 1.5.0-1ubuntu0.22.04.1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • gopass Ubuntu:24.04:LTS

    Versiones
    • 1.5.0-1build1
    • 1.5.0-1ubuntu0.24.04.1
    • 1.5.0-1ubuntu0.24.04.2
    • 1.5.0-1ubuntu0.24.04.3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →