CVE-2026-54917

总结

SeaweedFS 是一个分布式存储系统，用于对象存储（S3）、文件系统和 Iceberg 表。在 4.30 之前，S3 API 网关和 Iceberg REST 目录网关使用 `mux.NewRouter().SkipClean(true)` 构建其路由器。由于路径清理被禁用，URL 中的 `..` 段会在路由时保留，因此诸如 `GET /bucket-A/../evil-bucket/key` 的请求会被匹配为 bucket=bucket-A，object=../evil-bucket/key。捕获的对象键随后通过 `util.JoinPath`（S3）/ `path.Join`（Iceberg）拼接到 filer 路径中，这些函数会在服务端折叠 `..`，因此实际的读取或写入会落在 evil-bucket 中。该漏洞已在 4.30 中修复。

• CVE-2026-54917-SeaweedFS-Cross-Bucket-TraversalPoC

  针对 CVE-2026-54917 的 PoC + 分析 — SeaweedFS S3 网关跨桶路径遍历（CVSS 10.0，<4.30）。通过对象键中的 .. 可读取/写入任意桶。