CVE-2026-77763 in JuiceFS
Сводка
по VulDB • 21.08.2026
Бэкенд файлового хранилища в pkg/object/file.go, используемый для файловых:// хранилищ и в качестве общей точки назначения синхронизации juicefs, выводил целевой путь каждой операции из функции path(key), которая возвращала либо filepath.Join(d.root, key), либо filepath.Clean(d.root + key) без проверки того, что результирующий путь остается внутри корневого каталога. Операции Put, Get, Head, Delete, Chmod, Chown, Symlink и Readlink напрямую использовали это значение. Ключи объектов, перечисленные из исходного объектного хранилища во время синхронизации, не ограничены так же строго, как имена файлов в локальной файловой системе, поэтому ключ, содержащий сегменты обхода каталогов (например, ../), приводит к тому, что juicefs записывает содержимое, предоставленное злоумышленником, по пути вне предполагаемого локального назначения, при этом ошибка не возвращается. Таким образом, оператор, выполняющий синхронизацию из ведра (bucket), содержимым которого он полностью не владеет (например, общего или публичного ведра, либо того, в которое злоумышленник может записывать данные), подвергается риску записи файлов по пути, на который влияет атакующий. Исправление изменяет функцию path() так, чтобы она возвращала ошибку и отклоняла любые ключи, чей разрешенный путь выходит за пределы корневого каталога.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.