CVE-2026-58371

4.30 öncesindeki SeaweedFS, paylaşılan writeJson yardımcı fonksiyonunda (weed/server/common.go), callback sorgu parametresini Content-Type application/javascript ile sunulan yanıtlara olduğu gibi yansıtmaktadır; bu işlem sırasında herhangi bir callback-adı doğrulaması yapılmamakta, X-Content-Type-Options: nosniff başlığı gönderilmemekte ve bir CORS izin listesi bulunmamaktadır. writeJson kullanan tüm JSON uç noktaları - kimlik doğrulaması gerektirmeyen /dir/status, /dir/lookup ve /cluster/status master uç noktaları, volume server /status ve filer dizin listelemesi dahil olmak üzere varsayılan yapılandırmada erişilebilir olanların tamamı (-whiteList yok, security.toml yok, 0.0.0.0'a bağlı) - seçilen bir callback ile bir betik etiketi üzerinden çapraz kökenli (cross-origin) olarak yüklenebilir; bu durum üçüncü taraf bir web sayfasının küme topolojisini, volume server URL'lerini ve gRPC portlarını, dosya tanımlayıcılarını ve dizin listelerini okumasına olanak tanır. Callback dizesinin gövdenin başında yansıtılması ve nosniff başlığının gönderilmemesi nedeniyle, MIME-sniffing yapan istemciler yansıtılan içeriği HTML olarak da yorumlayabilir.