CVE-2026-77317
Açıklama
SeaweedFS, dosyalar ve blob'lar için dağıtılmış bir depolama sistemidir. 3.88 ile 4.39 arasındaki sürümlerde, SFTP sunucusu yapılandırılmış yol izinlerini birebir dize öneki karşılaştırmasıyla değerlendirir; bu nedenle bir yolla sınırlandırılmış bir kullanıcıya, adı yalnızca aynı karakterlerle başlayan herhangi bir kardeş yol için de aynı erişim verilir. Bu nedenle /tenants/alice yoluna erişim verilen bir kullanıcı, kontrol bir yol bileşeni sınırı gerektirmediğinden /tenants/alice-archive, /tenants/alice2 ve benzer kardeş yollarla da eşleşir. Kök ana dizine ve dar yol izinlerine sahip, kimliği doğrulanmış düşük ayrıcalıklı bir SFTP kullanıcısı, kendi geçerli kimlik bilgileriyle belgelenmiş SFTP hizmeti üzerinden yapılandırılmış ACL sınırını aşarak başka bir kiracının dosyalarını okuyabilir ve yazma izni verilmişse bunların üzerine yazabilir. Bu sorun 4.40 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| seaweedfs seaweedfs | >= 3.88, < 4.40 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.