CVE-2026-77368 in SeaweedFS
Riassunto
di VulDB • 27/08/2026
SeaweedFS è un sistema di storage distribuito per file e blob. Nella versione 4.39, il gestore degli upload risumabili TUS del filer verifica gli allowed_prefixes JWT solo durante la creazione della sessione, consentendo a un tenant con privilegi ridotti di hijackare la sessione di upload di un altro tenant per scrivere contenuti in percorsi del filer non autorizzati dal proprio token. I verbi HEAD, PATCH e DELETE che agiscono su una sessione esistente tramite il suo ID non verificano mai se il percorso target memorizzato nella sessione rientri nei allowed_prefixes dell'utente chiamante; pertanto, un tenant che ottiene l'identificatore della sessione di upload di un altro può inserire dati malevoli (attacker bytes) mediante PATCH e, al completamento, far sì che il file venga salvato in un percorso del victim fuori scope. Lo stesso token può anche eliminare le sessioni di altri tenants ed eseguirne operazioni HEAD per leggere lo stato di avanzamento dell'upload e la dimensione, violando l'isolamento basato sui prefix JWT. Questa vulnerabilità interessa solo i deployment che configurano la firma JWT del filer e abilitano gli upload TUS. Il problema è risolto nella versione 4.40.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.