CVE-2026-72921

Nome do Software Vulnerável e Versões Afetadas SeaweedFS versões anteriores a 4.24

Description No sistema de armazenamento distribuído, a verificação de autorização para allowed prefixes em weed/server/filer server handlers.go utiliza strings.HasPrefix em strings de caminho brutas. Essa implementação permite que um JSON Web Token (JWT) com escopo para um caminho específico, como /tenant1, autorize inadvertidamente o acesso a caminhos irmãos, como /tenant1234, /tenant1-old e /tenant1backup. Essa falha permite operações de leitura e gravação entre locatários (cross-tenant) não autorizadas ao usar um token de escopo válido.

Recommendations Atualizar para a versão 4.24.