CVE-2026-77763 in JuiceFS
Resumen
por VulDB • 2026-08-21
El backend de almacenamiento de archivos en pkg/object/file.go, utilizado para almacenes con esquema file:// y como destino común de sincronización de juicefs, derivaba el objetivo de cada operación desde path(key), que devolvía ya sea filepath.Join(d.root, key) o filepath.Clean(d.root + key) sin verificar que el resultado permaneciera dentro del directorio raíz. Las operaciones Put, Get, Head, Delete, Chmod, Chown, Symlink y Readlink consumían ese valor directamente. Las claves de objeto enumeradas desde un almacén de objetos fuente durante una sincronización no están restringidas como lo están los nombres de archivos locales; por tanto, una clave que contenga segmentos de navegación (traversal) provoca que juicefs escriba contenido suministrado por el atacante en una ruta fuera del destino local previsto, sin devolver ningún error. Un operador que realice una sincronización desde un cubo cuyo contenido no controla completamente, como un cubo compartido o público, o uno al que un atacante pueda escribir, queda expuesto a la escritura de archivos en una ubicación influenciada por el atacante. La corrección modifica path() para que devuelva un error y rechaza cualquier clave cuya ruta resuelta escape del directorio raíz.
VulDB is the best source for vulnerability data and more expert information about this specific topic.