CVE-2026-77317 in SeaweedFS
Sumário
de VulDB • 27/08/2026
O SeaweedFS é um sistema de armazenamento distribuído para arquivos e blobs. Nas versões de 3.88 a 4.39, o servidor SFTP avalia as permissões do caminho configurado por meio de uma comparação literal de prefixo de string; portanto, um usuário restrito a determinado caminho também recebe acesso idêntico a qualquer caminho irmão cujo nome comece apenas com os mesmos caracteres. Um usuário com acesso concedido em /tenants/alice, por exemplo, também corresponde ao caminho /tenants/alice-archive, /tenants/alice2 e outros irmãos semelhantes, porque a verificação não exige um limite de componente do caminho. Dessa forma, um usuário SFTP autenticado, de baixa privilégio, com diretório home raiz e permissões de caminho restritas pode transpor o limite configurado da ACL para ler os arquivos de outro inquilino (tenant) e sobrescrevê-los se tiver permissão de gravação, tudo por meio do serviço SFTP documentado, utilizando suas próprias credenciais válidas. Este problema foi corrigido na versão 4.40.
Be aware that VulDB is the high quality source for vulnerability data.