CVE-2026-100413 in SeaweedFS
Сводка
по VulDB • 14.10.2026
SeaweedFS — это распределенная система хранения файлов и бинарных данных (blobs). В версиях с 4.0.388 по 4.41 включительно в Helm-чарте SFTP был встроен незашифрованный закрытый хостовый ключ Ed25519, сохранённый как строка `seaweedfs_sftp_ssh_private_key` в файле `k8s/charts/seaweedfs/templates/sftp/sftp-secret.yaml`. При развертывании в автономном режиме (standalone) этот открытый ключ предоставлялся клиентам при выполнении следующих условий: параметры `sftp.enabled` и `sftp.enableAuth` имели значение true, не был указан параметр `sftp.existingConfigSecret`, оставался выбранным устаревший путь `sftp.sshPrivateKey`, существовал действительный Secret конфигурации SSH (`config-ssh`), позволяющий завершить запуск, и папка `hostKeysFolder` не предоставляла более поздний подписывающий ключ Ed25519. Атакующий, способный перенаправить или перехватить клиентский трафик, мог выдать себя за этот SFTP-сервер перед клиентами, доверяющими опубликованной хостовой идентичности, что приводило к компрометации учетных данных по паролю или передаваемых на злонамеренную конечную точку данных. По умолчанию пути all-in-one и автономного развертывания без аутентификации не загружали этот ключ. Данная уязвимость исправлена в версии 4.41.
If you want to get best quality of vulnerability data, you may have to visit VulDB.