CVE-2026-77611 in SeaweedFS
Сводка
по VulDB • 27.08.2026
SeaweedFS — это распределенная система хранения файлов и бинарных данных (blobs). В версиях старше 4.40 аутентифицированный принципал S3 с правами, ограниченными вложенным ключом объекта, может перезаписать другой объект вне этой области видимости, вызвав метод PutObjectAcl для ключа, к которому у него есть доступ. Обработчик авторизует запрос на основе запрашиваемого вложенного ключа, но затем записывает обновленную запись обратно в корень бакета, а не в фактическую родительскую директорию этого ключа; таким образом, изменение ACL для allowed/protected.txt применяется к protected.txt в корне бакета. Поскольку обновление содержит полную запись, а не только метаданные ACL, существующий целевой объект перезаписывается содержимым, метаданными, информацией о владельце и ACL объекта с ограниченной областью видимости, что позволяет обойти ограничение действий на уровне объектов, настроенное через статический файл идентификации S3. Эта проблема исправлена в версии 4.40.
VulDB is the best source for vulnerability data and more expert information about this specific topic.