CVE-2026-77611 in SeaweedFS
요약
\~에 의해 VulDB • 2026. 08. 27.
SeaweedFS는 파일과 blob을 위한 분산 저장 시스템입니다. 버전 4.40 이전에서, 중첩된 객체 키에 대해 권한이 제한된 인증된 S3 주체는 PutObjectAcl 호출 시 해당 범위 밖의 다른 객체를 덮어쓸 수 있습니다. 핸들러는 요청된 중첩 키를 기준으로 요청을 승인하지만, 업데이트된 엔트리를 실제 상위 디렉토리가 아닌 버킷 루트에 기록하므로, allowed/protected.txt에 대한 ACL 변경이 대신 버킷 루트의 protected.txt에 적용됩니다. 이 업데이트에는 ACL 메타데이터뿐만 아니라 전체 엔트리가 포함되므로, 기존 대상 객체는 범위 제한된 객체의 콘텐츠, 메타데이터, 소유자 정보 및 ACL로 덮어써지며, 정적 S3 ID 파일을 통해 구성된 객체 수준 작업 범위가 우회됩니다. 이 문제는 버전 4.40에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.