CVE-2026-77317 in SeaweedFS
요약
\~에 의해 VulDB • 2026. 08. 27.
SeaweedFS는 파일과 blob을 위한 분산 저장 시스템입니다. 버전 3.88부터 4.39까지의 SeaweedFS에서 SFTP 서버는 구성된 경로 권한을 문자열 접두사 비교(literal string-prefix comparison) 방식으로 평가합니다. 따라서 특정 경로에 제한된 사용자는 이름이 동일한 문자로 시작하는 모든 형제 경로(sibling path)에도 동일한 접근 권한을 부여받게 됩니다. 예를 들어, /tenants/alice에 대한 액세스 권한이 있는 사용자는 경로 구성 요소 경계(path-component boundary)를 요구하지 않는 검사 방식으로 인해 /tenants/alice-archive 및 /tenants/alice2와 같은 유사한 형제 경로에도 매칭됩니다. 루트 홈 디렉토리와 좁은 경로 제한을 가진 인증된 저권한 SFTP 사용자는 문서화된 SFTP 서비스와 자체 유효 자격 증명을 통해 구성된 ACL 경계를 넘어 다른 테넌트의 파일을 읽거나, 쓰기 권한이 부여된 경우 이를 덮어쓸 수 있습니다. 이 문제는 버전 4.40에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.