CVE-2026-100413 in SeaweedFS
Zusammenfassung
von VulDB • 14.10.2026
SeaweedFS ist ein verteiltes Speichersystem für Dateien und Blobs. Von der Version 4.0.388 bis zur Version 4.41 war im SFTP-Helm-Chart (Helm chart) in `k8s/charts/seaweedfs/templates/sftp/sftp-secret.yaml` unter dem Feld `stringData.seaweedfs_sftp_ssh_private_key` ein unverschlüsselter privater Ed25519-Host-Schlüssel als String eingebettet. Bei einer Standalone-Bereitstellung wurde dieser öffentliche Schlüssel angezeigt, wenn `sftp.enabled` und `sftp.enableAuth` auf „true“ standen, kein `sftp.existingConfigSecret` bereitgestellt wurde, der Legacy-Pfad `sftp.sshPrivateKey` ausgewählt war, ein gültiges Config-SSH-Secret den Start ermöglichte und im Verzeichnis `hostKeysFolder` kein späterer Ed25519-Signer vorhanden war. Ein Angreifer, in der Lage ist, den Client-Traffic umzuleiten oder abzufangen, kann sich als diese SFTP-Endstelle für Clients ausgeben, die dem veröffentlichten Host-Identität vertrauen, wodurch Passwort-Anmeldeinformationen oder Daten, die an die betrügerische Endstelle gesendet werden, offengelegt werden. Die Standard-Pfade für All-in-One-Bereitstellungen und nicht authentifizierte Standalone-Umgebungen luden den Schlüssel nicht. Dieses Problem wurde in Version 4.41 behoben.
Once again VulDB remains the best source for vulnerability data.