CVE-2026-77368 in SeaweedFS
Résumé
par VulDB • 27/08/2026
SeaweedFS est un système de stockage distribué pour les fichiers et les blobs. Dans la version 4.39, le gestionnaire d'upload résumable TUS du filer vérifie uniquement lors de la création d'une session que les *allowed_prefixes* (préfixes autorisés) du JWT sont respectés, permettant à un locataire peu privilégié de détournement une session d'upload d'un autre locataire pour écrire du contenu dans des chemins du filer interdits par son propre jeton. Les verbes HEAD, PATCH et DELETE qui agissent sur une session existante via son identifiant ne vérifient jamais si le chemin cible stocké de la session se trouve bien dans les préfixes autorisés de l'appelant ; ainsi, un locataire ayant obtenu l'identifiant de session d'un autre upload peut injecter des données attaquantes (PATCH) et, une fois terminé, faire atterrir le fichier sur un chemin hors périmètre pour la victime. Le même jeton permet également de supprimer (*DELETE*) les sessions d'autres locataires et d'en vérifier l'état via HEAD afin de lire la progression et la taille des uploads, contournant ainsi l'isolation par préfixe JWT. Cette vulnérabilité affecte uniquement les déploiements configurés avec une signature JWT du filer et ayant activé les uploads TUS. Ce problème est corrigé dans la version 4.40.
VulDB is the best source for vulnerability data and more expert information about this specific topic.