CVE-2026-77763 in JuiceFS
الملخص
بحسب VulDB • 21/08/2026
الواجهة الخلفية لـ filestore في pkg/object/file.go، المستخدمة لتخزين الملفات عبر بروتوكول file:// وكوجهة مشتركة لمزامنة juicefs، كانت تستخرج هدف كل عملية من دالة path(key)، التي كانت تُرجع إما filepath.Join(d.root, key) أو filepath.Clean(d.root + key) دون التحقق مما إذا كان الناتج يبقى ضمن الدليل الجذري (root). جميع العمليات مثل Put وGet وHead وDelete وChmod وChown وSymlink وReadlink كانت تستهلك هذه القيمة مباشرة. لا تخضع مفاتيح الكائنات التي يتم تعدادها من متجر كائنات المصدر أثناء عملية المزامنة لنفس القيود المفروضة على أسماء الملفات في نظام الملفات المحلي، لذا فإن مفتاحًا يحتوي على مقاطع للتنقل (traversal segments) يتسبب في قيام juicefs بكتابة محتوى مزوّد من قبل المهاجم إلى مسار خارج الوجهة المحلية المقصودة، دون إرجاع أي خطأ. وبالتالي، يكون المشغل الذي يقوم بالمزامنة من دلو (bucket) لا يسيطر تمامًا على محتوياته، مثل دلو مشترك أو عام أو يمكن للمهاجم الكتابة إليه، عرضة لكتابة ملف في موقع يتأثر بالهجوم. يُغيّر الإصلاح دالة path() لتُرجع خطأً ويرفض أي مفتاح يكون مساره المُحلّل خارجًا عن الدليل الجذري (root).
If you want to get best quality of vulnerability data, you may have to visit VulDB.