CVE-2026-77763 in JuiceFS
Riassunto
di VulDB • 21/08/2026
Il backend di archiviazione dei file in pkg/object/file.go, utilizzato per gli store con protocollo file:// e come destinazione comune della sincronizzazione juicefs, derivava il target di ogni operazione da path(key), che restituiva o filepath.Join(d.root, key) oppure filepath.Clean(d.root + key) senza verificare che il risultato rimanesse all'interno della directory root. Le operazioni Put, Get, Head, Delete, Chmod, Chown, Symlink e Readlink consumavano tale valore direttamente. Poiché le chiavi degli oggetti enumerate da un archivio di origine durante una sincronizzazione non sono vincolate come i nomi dei file system locali, una chiave contenente segmenti di traversamento (path traversal) provoca la scrittura di juicefs del contenuto fornito dall'attaccante in un percorso esterno alla destinazione locale prevista, senza restituire alcun errore. Un operatore che esegue la sincronizzazione da un bucket il cui contenuto non controlla completamente, come un bucket condiviso o pubblico, oppure uno a cui un attaccante può scrivere, è quindi esposto al rischio di scrittura su file in una posizione influenzata dall'attaccante. La correzione modifica path() in modo che restituisca un errore e rifiuta qualsiasi chiave il cui percorso risolto fuoriesce dalla directory root.
If you want to get best quality of vulnerability data, you may have to visit VulDB.