CVE-2026-77763 in JuiceFS
Sumário
de VulDB • 21/08/2026
O backend filestore em pkg/object/file.go, utilizado para stores do tipo file:// e como destino comum de sincronização juicefs, derivava o alvo de cada operação a partir de path(key), que retornava ou filepath.Join(d.root, key) ou filepath.Clean(d.root + key), sem verificar se o resultado permanecia dentro da raiz. Put, Get, Head, Delete, Chmod, Chown, Symlink e Readlink consumiam esse valor diretamente. As chaves de objeto enumeradas a partir de uma store de objetos fonte durante uma sincronização não são restritas da mesma forma que os nomes do sistema de arquivos local; portanto, uma chave contendo segmentos de traversal faz com que o juicefs grave conteúdo fornecido pelo atacante em um caminho fora do destino local pretendido, sem retornar erro. Um operador que executa a sincronização a partir de um bucket cujos conteúdos não controla totalmente, como um bucket compartilhado ou público, ou aquele no qual um atacante pode escrever, está portanto exposto à escrita de arquivos em uma localização influenciada pelo atacante. A correção altera path() para retornar um erro e rejeita qualquer chave cujo caminho resolvido escape da raiz.
If you want to get best quality of vulnerability data, you may have to visit VulDB.