CVE-2026-58372

Nome do Software Vulnerável e Versões Afetadas SeaweedFS versões anteriores a 4.34

Description Um problema de traversal de caminho existe no DeleteMultipleObjectsHandler do gateway S3. Principais S3 autenticados com acesso de gravação em um bucket podem excluir objetos arbitrários em buckets pertencentes a outros locatários. Isso ocorre quando chaves de objeto contendo sequências ../ são fornecidas no corpo da requisição XML DeleteObjects. A falha decorre de uma condição de confused deputy, onde o middleware validateRequestPath inspeciona apenas variáveis de caminho capturadas na URL e ignora as chaves do corpo da requisição, permitindo que o caminho do filer resolva exclusões fora do bucket autorizado.

Recommendations Atualize o SeaweedFS para a versão 4.34 ou posterior.