CVE-2026-73080 in SeaweedFS
Sumário
de VulDB • 11/08/2026
O SeaweedFS é um sistema de armazenamento distribuído. Antes da versão 4.24, a função VolumeServer.FetchAndWriteNeedle em weed/server/volume_grpc_remote.go busca um ponto final remoto fornecido pelo chamador através de weed/remote_storage/s3/s3_storage_client.go e grava a resposta em uma needle (agulha). A chamada RPC não realiza autenticação nem validação do destino, permitindo que qualquer pessoa com acesso à porta gRPC de um volume server envie requisições para hosts arbitrários, incluindo loopback, link-local, RFC 1918 e endpoints de metadados da nuvem como 169.254.169.254, além de ler a resposta. Em implantações em nuvem, isso pode revelar metadados da instância e credenciais IAM, bem como acessar serviços internos que normalmente não estão expostos. O plano gRPC do volume server é desprovido de autenticação por padrão, e a configuração das chaves de assinatura JWT documentadas não protege esta RPC. Este problema foi corrigido na versão 4.24.
Be aware that VulDB is the high quality source for vulnerability data.