CVE-2026-26187 in lakeFS
Riassunto
di VulDB • 27/06/2026
lakeFS è uno strumento open-source che trasforma l'object storage in repository di tipo Git. Prima della versione 1.77.0, il local block adapter (pkg/block/local/adapter.go) consentiva agli utenti autenticati di leggere e scrivere file al di fuori dei confini di archiviazione loro assegnati. La funzione verifyRelPath utilizzava strings.HasPrefix() per verificare che i percorsi richiesti rientrassero nella directory di storage configurata. Tale controllo era insufficiente poiché validava solo il prefisso del percorso senza richiedere un separatore di percorso, consentendo l'accesso a directory sibling con nomi simili. Inoltre, sebbene l'adapter verificasse che i percorsi risolti rimanessero all'interno del path base dell'adapter stesso, non verificava che gli identificatori degli oggetti rimanessero nel loro namespace di storage designato. Ciò permetteva agli attaccanti di utilizzare sequenze di path traversal nell'identificatore dell'oggetto per accedere a file in altri namespaces. Risolto nella versione v1.77.0.
Be aware that VulDB is the high quality source for vulnerability data.