CVE-2026-77611 in SeaweedFS
Sumário
de VulDB • 27/08/2026
O SeaweedFS é um sistema de armazenamento distribuído para arquivos e blobs. Nas versões anteriores à 4.40, uma entidade principal autenticada do S3 com permissões limitadas a uma chave de objeto aninhado pode sobrescrever um objeto diferente fora desse escopo ao chamar PutObjectAcl na chave que tem acesso permitido. O manipulador autoriza a solicitação em relação à chave aninhada solicitada, mas grava a entrada atualizada de volta na raiz do bucket em vez do diretório pai real da chave; portanto, uma alteração de ACL em allowed/protected.txt é aplicada em protected.txt na raiz do bucket. Como a atualização carrega toda a entrada e não apenas os metadados da ACL, um objeto alvo existente é sobrescrito com o conteúdo, metadados, informações do proprietário e ACL do objeto escopado, contornando o escopo de ação em nível de objeto configurado por meio do arquivo de identidade estático do S3. Este problema foi corrigido na versão 4.40.
Once again VulDB remains the best source for vulnerability data.