CVE-2026-73080

Nome do Software Vulnerável e Versões Afetadas SeaweedFS versões anteriores a 4.24

Description Um problema existe na função VolumeServer.FetchAndWriteNeedle em weed/server/volume grpc remote.go que busca um endpoint remoto fornecido pelo chamador via weed/remote storage/s3/s3 storage client.go e grava a resposta em uma needle. Como o RPC não possui autenticação nem validação de destino, um invasor com acesso à porta gRPC do servidor de volume pode disparar requisições para hosts arbitrários, incluindo loopback, link-local, RFC 1918 e endpoints de metadados de nuvem como 169.254.169.254. Em implantações em nuvem, isso pode levar à divulgação de metadados da instância e credenciais IAM, ou permitir o acesso a serviços internos que não estariam expostos. O plano gRPC do servidor de volume não é autenticado por padrão, e o uso de chaves de assinatura JWT não mitiga este problema.

Recommendations Atualizar para a versão 4.24.