CVE-2026-77763

pkg/object/file.go içindeki, file:// depoları için kullanılan ve yaygın bir juicefs sync hedefi olarak hizmet veren filestore arka ucu, her işlemin hedefini path(key) üzerinden türetiyordu; bu fonksiyon, sonucun kök dizin altında kaldığını kontrol etmeksizin filepath.Join(d.root, key) veya filepath.Clean(d.root + key) döndürüyordu. Put, Get, Head, Delete, Chmod, Chown, Symlink ve Readlink bu değeri doğrudan kullanıyordu. Bir sync sırasında kaynak nesne deposundan numaralandırılan nesne anahtarları, yerel dosya sistemi adları gibi kısıtlanmadığından, dizin geçişi (traversal) segmentleri içeren bir anahtar, juicefs'in saldırgan tarafından sağlanan içeriği amaçlanan yerel hedefin dışındaki bir yola yazmasına neden olur ve herhangi bir hata döndürülmez. İçeriğini tam olarak kontrol etmediği bir bucket'tan (örneğin paylaşılan veya genel bir bucket ya da saldırganın yazabildiği bir bucket) sync yapan bir operatör, bu nedenle saldırganın etkileyebildiği bir konumda dosya yazma riskine maruz kalır. Düzeltme, path() fonksiyonunu hata döndürecek şekilde değiştirir ve çözümlenen yolu kök dizinin dışına çıkan her anahtarı reddeder.