CVE-2026-77763

pkg/object/file.go faylında yerləşən və file:// anbarları üçün, həmçinin ümumi juicefs sinxronizasiya təyinatı kimi istifadə edilən filestore backend-i, hər bir əməliyyatın hədəfini path(key) funksiyasından törədirmişdir. Bu funksiya, nəticənin kök kataloqundan kənara çıxmadığını yoxlamadan filepath.Join(d.root, key) və ya filepath.Clean(d.root + key) dəyərlərini qaytarırdı. Put, Get, Head, Delete, Chmod, Chown, Symlink və Readlink əməliyyatlarının hamısı bu dəyəri birbaşa istifadə edirdi. Sinxronizasiya zamanı mənbə obyekt anbarından sadalanan obyekt açarları lokal fayl sistemi adları kimi məhdudlaşdırılmır, buna görə də keçid seqmentləri (traversal segments) ehtiva edən bir açar juicefs-in hücum edən tərəfindən təmin edilən məzmunu nəzərdə tutulmuş lokal təyinatdan kənar bir yola yazmasına səbəb olur və heç bir xəta qaytarılmır. Paylaşılan və ya herkese açıq olan, yaxud hücum edənin yazı yaza bildiyi bir bucket-dən sinxronizasiya aparan operator, beləliklə, hücum edən tərəfin təsir etdiyi məkanda fayl yazılması riskinə məruz qalır. Düzəliş path() funksiyasını xəta qaytaracaq şəkildə dəyişir və həll edilmiş yolu kök kataloqundan kənara çıxaran bütün açarları rədd edir.