PT-2026-70220
CVE-2026-72920
·
تاريخ النشر
2026-08-11
·
تاريخ التحديث
2026-09-21
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SeaweedFS الأقدم من 4.24
الوصف
يقوم نظام التخزين بتسجيل خدمة gRPC الخاصة بـ SeaweedIdentityAccessManagement دون اشتراط المصادقة عندما يكون
jwt.filer signing.key غير محدد. وهذا يسمح لأي عميل لديه وصول إلى منفذ gRPC الخاص بـ filer باستدعاء RPCs الخاصة بـ IAM، بما في ذلك CreateUser() وCreateAccessKey() وPutPolicy()، لإنشاء بيانات اعتماد والحصول على التحكم الإداري في S3.التوصيات
التحديث إلى الإصدار 4.24.
تعيين
jwt.filer signing.key لضمان المصادقة الإلزامية لخدمة gRPC. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾