Intel

CVE-2026-15913

GoAnywhere MFT: Relative Path Traversal (CVE-2026-15913)

highEPSS 0.4 %

Beschreibung

In Versionen vor 7.10.2 besteht in der /attachRemoteFiles-Endpunkt von Fortras GoAnywhere MFT eine Pfad-Traversierungs-Schwachstelle, die es Web-Benutzern mit sowohl Secure Folders als auch Secure Mail Berechtigungen ermöglicht, ihre sandkastengeschützte Home-Verzeichnis zu umgehen und beliebige Dateien einzulesen.

Quelle: CVELISTV5NVDBSI_CSAFBSI

Metriken

Severity
high
Priority-Score
88.13
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
7.7
Quelle: cna-v3
CVSS v3
7.7
CVSS v4
—
EPSS-Perzentil
32.7 %
Erhöht — CVE ist relevanter als mindestens 10 % der heute bewerteten CVEs.
EPSS-Score
0.4 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-09-09 21:18 UTC
CWE
CWE-23

Weakness-Klassen (CWE)

  • CWE-23Base

    Relative Path Traversal

    The product uses external input to construct a pathname that should be within a restricted directory, but it does not properly neutralize sequences such as ".." that can resolve to a location that is outside of that directory.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-09-10 14:17 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • SSVC: {"id":"CVE-2026-15913","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalI…
  2. New CVE Received2026-09-09 22:17 UTC· df4dee71-de3a-4139-9588-11b62fe6c0ff
    • Description: In versions prior to 7.10.2 a path traversal vulnerability in the /attachRemoteFiles endpoint of Fortra's GoAnywhere MFT allows Web Users with both Secure Folders and Secure Mail permissions to escape their sandboxed home directory, achieving arbitrary file read.
    • CVSS V3.1: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
    • CWE: CWE-23
    • Affected: New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/15xxx/CVE-2026-15913.json">CVE-2026-15913</a>

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • Fortra

    GoAnywhere MFT< 7.10.2

    gefixt in 7.10.2

Quellen & Referenzen

IDCVE-2026-15913