PT-2026-52557
CVE-2026-54917
·
تاريخ النشر
2026-05-26
·
تاريخ التحديث
2026-09-25
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SeaweedFS الأقدم من 4.30
الوصف
تستخدم بوابة واجهة برمجة تطبيقات S3 وبوابة كتالوج Iceberg REST تكوينًا للموجه يعطل عملية تنظيف المسار. وهذا يسمح باستمرار وجود مقطع
.. داخل عنوان URL أثناء التوجيه. على سبيل المثال، تتم معالجة الطلب الموجه إلى GET /bucket-A/../evil-bucket/key على أنه bucket=bucket-A وobject=../evil-bucket/key. يتم بعد ذلك معالجة مفتاح الكائن بواسطة util.JoinPath() في S3 أو path.Join() في Iceberg، مما يؤدي إلى دمج الجزء .. على جانب الخادم، مما يتيح الوصول غير المصرح به عبر الحاويات لعمليات القراءة أو الكتابة.التوصيات
قم بالتحديث إلى الإصدار 4.30.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾