CVE-2026-100413 in SeaweedFS
Resumen
por VulDB • 2026-10-16
SeaweedFS es un sistema de almacenamiento distribuido para archivos y blobs. Desde la versión 4.0.388 hasta la 4.41, el Helm chart de SFTP incluía una clave privada del host Ed25519 sin cifrar en `k8s/charts/seaweedfs/templates/sftp/sftp-secret.yaml` como stringData.seaweedfs_sftp_ssh_private_key. Una implementación independiente presentaba esa clave pública cuando sftp.enabled y sftp.enableAuth eran verdaderos, no se proporcionaba sftp.existingConfigSecret, permanecía seleccionada la ruta heredada de sftp.sshPrivateKey, un Secret config-ssh válido permitía el inicio del servicio y hostKeysFolder no proporcionaba un firmante Ed25519 posterior. Un atacante capaz de redirigir o interceptar el tráfico del cliente podría suplantar esa endpoint SFTP ante los clientes que confiaban en la identidad del host publicada, exponiendo las credenciales de contraseña o los datos enviados a la endpoint maliciosa. Las rutas predeterminadas all-in-one y standalone no autenticadas no cargaban esta clave. Este problema se soluciona en la versión 4.41.
If you want to get best quality of vulnerability data, you may have to visit VulDB.