CVE-2026-100413 in SeaweedFS
الملخص
بحسب VulDB • 14/10/2026
SeaweedFS هو نظام تخزين موزع للملفات والكائنات (blobs). من الإصدار 4.0.388 حتى 4.41، كان حاوية Helm الخاصة بـ SFTP تضمّناً مفتاحاً خاصاً لمضيف Ed25519 غير مشفر في الملف k8s/charts/seaweedfs/templates/sftp/sftp-secret.yaml ضمن حقل stringData.seaweedfs_sftp_ssh_private_key. عند التثبيت المستقل (standalone deployment)، كان يتم عرض المفتاح العام إذا كانت الخيارات sftp.enabled و sftp.enableAuth مفعّلتين، ولم يُزوَّد بـ sftp.existingConfigSecret، وكان المسار القديم sftp.sshPrivateKey لا يزال محدداً، وسمح وجود سر صالح لـ config-ssh بعملية بدء التشغيل، كما لم يوفر مجلد hostKeys مُوقِّعاً Ed25519 لاحقاً. يمكن لهجوم قادر على إعادة توجيه أو اعتراض حركة مرور العميل أن ينتحل شخصية نقطة نهاية SFTP تلك أمام العملاء الذين يثقون في الهوية المستضافة المنشورة، مما يعرض بيانات الاعتماد (كلمات المرور) والبيانات المرسلة إلى نقطة النهاية الخادعة للخطر. لم تقم مسارات التجميع الشامل الافتراضية (all-in-one) والتثبيتات المستقلة غير المصادق عليها بتحميل المفتاح. تم إصلاح هذه المشكلة في الإصدار 4.41.
Once again VulDB remains the best source for vulnerability data.