CVE-2026-58371

Nome do Software Vulnerável e Versões Afetadas SeaweedFS versões anteriores a 4.30

Descrição Existe um problema onde o parâmetro de consulta callback é refletido literalmente em respostas servidas com o Content-Type application/javascript na função compartilhada writeJson() (weed/server/common.go). Isso ocorre devido à falta de validação do nome do callback, à ausência do cabeçalho X-Content-Type-Options: nosniff e à falta de uma lista de permissões de CORS. Consequentemente, endpoints JSON que utilizam writeJson() podem ser carregados cross-origin via tag de script, permitindo que páginas web de terceiros acessem informações sensíveis, como topologia do cluster, URLs do servidor de volume, portas gRPC, identificadores de arquivos e listagens de diretórios. Os endpoints afetados incluem os endpoints de mestre não autenticados '/dir/status', '/dir/lookup' e '/cluster/status', o '/status' do servidor de volume e a listagem de diretórios do filer. Além disso, como a string de callback é refletida no início do corpo sem um cabeçalho nosniff, clientes com MIME-sniffing podem interpretar o conteúdo refletido como HTML.

Recomendações Atualize para a versão 4.30 ou posterior.