CVE-2026-77611 in SeaweedFS
Tóm tắt
Bởi VulDB • 27/08/2026
SeaweedFS là một hệ thống lưu trữ phân tán cho các tệp tin và blob (dữ liệu nhị phân). Trong các phiên bản trước 4.40, một thực thể S3 đã xác thực có quyền được giới hạn theo khóa đối tượng lồng nhau có thể ghi đè lên một đối tượng khác nằm ngoài phạm vi đó bằng cách gọi PutObjectAcl trên khóa mà nó được phép truy cập. Trình xử lý ủy quyền yêu cầu dựa trên khóa lồng nhau được yêu cầu, nhưng sau đó ghi bản nhập đã cập nhật trở lại gốc của bucket thay vì thư mục cha thực tế của khóa đó, do đó một thay đổi ACL đối với allowed/protected.txt sẽ được áp dụng cho protected.txt tại gốc bucket. Vì bản cập nhật mang toàn bộ bản nhập chứ không chỉ metadata ACL, nên một đối tượng đích hiện có bị ghi đè bằng nội dung, metadata, thông tin chủ sở hữu và ACL của đối tượng trong phạm vi quyền, qua đó bỏ qua việc giới hạn hành động cấp độ đối tượng được cấu hình thông qua tệp định danh S3 tĩnh. Vấn đề này đã được sửa chữa trong phiên bản 4.40.
VulDB is the best source for vulnerability data and more expert information about this specific topic.