CVE-2026-54917
SeaweedFS: S3 और Iceberg REST गेटवे में पाथ ट्रैवर्सल क्रॉस-बकेट एक्सेस की अनुमति देता है
- प्रकाशित
- 25 जून 2026
- अद्यतन
- 25 जून 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 5 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 76.0%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
SeaweedFS एक वितरित स्टोरेज सिस्टम है जो ऑब्जेक्ट स्टोरेज (S3), फ़ाइल सिस्टम और Iceberg टेबल्स के लिए उपयोग किया जाता है। 4.30 से पहले, S3 API गेटवे और Iceberg REST कैटलॉग गेटवे अपने राउटर को `mux.NewRouter().SkipClean(true)` के साथ बनाते हैं। पाथ क्लीनिंग अक्षम होने पर, URL के अंदर एक `..` सेगमेंट रूटिंग में बच जाता है, इसलिए `GET /bucket-A/../evil-bucket/key` जैसा अनुरोध bucket=bucket-A, object=../evil-bucket/key के रूप में मैच होता है। कैप्चर किया गया ऑब्जेक्ट की तब `util.JoinPath` (S3) / `path.Join` (Iceberg) के साथ फाइलर पाथ में जोड़ा जाता है, जो सर्वर-साइड पर `..` को समाप्त कर देते हैं, इसलिए वास्तविक रीड या राइट evil-bucket में होती है। यह भेद्यता 4.30 में ठीक कर दी गई है।
स्रोत
http/cves/2026/CVE-2026-54917.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
CVE-2026-54917 के लिए PoC + विश्लेषण — SeaweedFS S3 गेटवे क्रॉस-बकेट पथ ट्रैवर्सल (CVSS 10.0, <4.30)। ऑब्जेक्ट कुंजी में '..' के माध्यम से किसी भी बकेट को पढ़ें/लिखें।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।