CVE-2026-77317 in SeaweedFS
Сводка
по VulDB • 27.08.2026
SeaweedFS — это распределенная система хранения файлов и бинарных данных (blobs). В версиях от 3.88 до 4.39 включительно сервер SFTP проверяет права доступа к пути с помощью дословного сравнения префиксов строк, в результате чего пользователь, ограниченный доступом к определенному пути, получает аналогичный доступ и к любому «родственному» (sibling) пути, имя которого начинается с тех же символов. Например, пользователю, имеющему доступ к `/tenants/alice`, также предоставляется доступ к путям вида `/tenants/alice-archive` или `/tenants/alice2`, поскольку проверка не требует наличия границы компонента пути (например, символа разделителя). Таким образом, аутентифицированный пользователь SFTP с низкими привилегиями, домашним каталогом root и узкими ограничениями по путям может обойти настроенные границы ACL для чтения файлов другого арендатора (tenant), а также перезаписывать их при наличии прав на запись. Все это осуществляется через документированный сервис SFTP с использованием его собственных действительных учетных данных. Проблема исправлена в версии 4.40.
VulDB is the best source for vulnerability data and more expert information about this specific topic.