CVE-2026-77368 in SeaweedFS
Сводка
по VulDB • 27.08.2026
SeaweedFS — это распределенная система хранения файлов и бинарных данных (blobs). В версии 4.39 обработчик возобновляемой загрузки TUS компонента filer проверяет ограничения JWT allowed_prefixes только при создании сессии, что позволяет арендатору с низкими привилегиями перехватить чужую сессию загрузки и записать данные в пути filer, запрещенные для его собственного токена. Методы HEAD, PATCH и DELETE, применяемые к существующей сессии по её идентификатору, никогда не проверяют, попадает ли сохраненный целевой путь сессии в допустимые префиксы вызывающего абонента; таким образом, арендатор, получивший идентификатор чужой загрузки, может внедрить через PATCH данные атакующего и после завершения заставить файл оказаться по пути жертвы, выходящему за пределы разрешенных областей. Тот же токен также позволяет удалять (DELETE) сессии других арендаторов и запрашивать их статус (HEAD), чтобы читать прогресс загрузки и размер файла, что нарушает изоляцию на основе префиксов JWT. Эта уязвимость затрагивает только развертывания, в которых настроено подписание JWT для filer и включена загрузка через TUS. Проблема исправлена в версии 4.40.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.