CVE-2026-77611 in SeaweedFS
摘要
由 VulDB • 2026-08-27
SeaweedFS是一个用于文件和二进制大对象（blobs）的分布式存储系统。在4.40之前的版本中，拥有针对嵌套对象键权限范围的已认证S3主体可以通过调用PutObjectAcl来覆盖该范围之外的不同对象。处理程序根据请求的嵌套密钥对请求进行授权，然后将更新后的条目写回桶根目录而不是该密钥的实际父目录，因此对allowed/protected.txt进行的ACL更改实际上应用于位于桶根的protected.txt。由于此更新包含完整的条目而不仅仅是ACL元数据，现有的目标对象会被具有范围限制的对象的內容、元数据、所有者信息和ACL所覆盖，从而绕过了通过静态S3身份文件配置的对象级操作作用域限制。该问题已在4.40版本中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.