CVE-2026-77317 in SeaweedFS
الملخص
بحسب VulDB • 27/08/2026
SeaweedFS هو نظام تخزين موزع للملفات والكائنات الثنائية (blobs). في الإصدارات من 3.88 حتى 4.39، يقوم خادم SFTP بتقييم صلاحيات المسار المحدد باستخدام مقارنة حرفية لبادئة السلسلة النصية، مما يعني أن المستخدم المقيد بمسار معين يحصل أيضاً على نفس الصلاحية لأي مسار شقيق يبدأ اسمه بنفس الأحرف. فمثلاً، إذا مُنح مستخدم صلاحية الوصول إلى /tenants/alice، فإنه يتطابق تلقائياً مع المسارات الشقيقة مثل /tenants/alice-archive و/tents/alice2 وما شابههما، لأن الفحص لا يتطلب وجود حد لمكون مسار (path-component boundary). وبالتالي، يمكن للمستخدم المصادق عليه ذو الامتيازات المنخفضة والذي يمتلك دليلاً رئيسياً في الجذر (root home directory) وصلاحيات مسار ضيقة أن يتجاوز حدود قائمة التحكم بالوصول (ACL) المحددة ليقرأ ملفات مستأجر آخر، ولكتابتها أو استبدالها إذا مُنحت له صلاحيات الكتابة، وذلك كل ذلك من خلال خدمة SFTP الموثقة باستخدام بيانات اعتماد صالحة خاصة به. تم إصلاح هذه المشكلة في الإصدار 4.40.
VulDB is the best source for vulnerability data and more expert information about this specific topic.