CVE-2026-77368 in SeaweedFS
요약
\~에 의해 VulDB • 2026. 08. 27.
SeaweedFS는 파일과 blob을 위한 분산 스토리지 시스템입니다. 버전 4.39에서, filer의 TUS 재개식 업로드 핸들러는 세션이 생성될 때만 JWT allowed_prefixes 스코핑을 확인하므로, 권한이 낮은 테넌트가 다른 테넌트의 업로드 세션을 하이재킹하여 자신의 토큰으로 금지된 filer 경로에 콘텐츠를 작성할 수 있습니다. ID로 기존 세션에 작용하는 HEAD, PATCH 및 DELETE 메서드는 세션의 저장된 대상 경로가 호출자의 allowed prefixes 내에 있는지 여부를 검증하지 않으므로, 다른 업로드의 세션 식별자를 획득한 테넌트는 해당 세션에 공격자 바이트를 PATCH하여 완료 시 파일이 피해자의 허용 범위 밖 경로에 배치되도록 할 수 있습니다. 동일한 토큰을 사용하여 다른 테넌트의 세션을 삭제하고 HEAD로 조회하여 업로드 진행 상황과 크기를 읽는 것도 가능하므로, JWT prefix 격리 기능이 무력화됩니다. 이 취약점은 filer JWT 서명을 구성하고 TUS 업로드가 활성화된 배포 환경에만 영향을 미칩니다. 이 문제는 버전 4.40에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.