CVE-2026-77368 in SeaweedFS
Resumen
por VulDB • 2026-08-27
SeaweedFS es un sistema de almacenamiento distribuido para archivos y blobs (blobs). En la versión 4.39, el manejador de carga resumible TUS del filer verifica los allowed_prefixes permitidos por JWT únicamente cuando se crea una sesión, lo que permite a un inquilino con privilegios bajos secuestrar la sesión de carga de otro inquilino para escribir contenido en rutas del filer prohibidas por su propio token. Los verbos HEAD, PATCH y DELETE que actúan sobre una sesión existente mediante su ID nunca verifican si la ruta objetivo almacenada en la sesión se encuentra dentro de los allowed_prefixes permitidos al llamador; por lo tanto, un inquilino que obtiene el identificador de sesión de otra carga puede insertar bytes del atacante (PATCH) y, tras completarse, hacer que el archivo termine en una ruta fuera de alcance para la víctima. El mismo token también puede eliminar las sesiones de otros inquilinos y consultarlas mediante HEAD para leer el progreso y el tamaño de la carga, lo que invalida el aislamiento basado en prefijos JWT. Esta vulnerabilidad solo afecta a los despliegues que configuran la firma JWT del filer y tienen habilitadas las cargas TUS. Este problema se soluciona en la versión 4.40.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.