جزئیات آسیب‌پذیری
CVE-2026-72920
seaweedfs seaweedfs
SeaweedFS: Unauthenticated filer IAM gRPC service grants S3 administrative control
CVSS 3.1
9.8بحرانی
شرح رسمی (انگلیسی)
SeaweedFS is a distributed storage system. Prior to 4.24, the filer registers the SeaweedIdentityAccessManagement gRPC service without mandatory authentication when jwt.filer_signing.key is unset, allowing any client that can reach the filer gRPC port to invoke CreateUser, CreateAccessKey, PutPolicy, and related IAM RPCs to mint credentials and gain S3 administrative control. This issue is fixed in versions 4.24.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.8بحرانی | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| seaweedfs | seaweedfs | < 4.24 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/seaweedfs/seaweedfs/security/advisories/GHSA-2v6v-25fm-p4fg x_refsource_CONFIRM
- https://github.com/seaweedfs/seaweedfs/pull/9442 x_refsource_MISC
- https://github.com/seaweedfs/seaweedfs/commit/5e8f99f40a8abc7b449aefd260516443377041c7 x_refsource_MISC
- https://github.com/seaweedfs/seaweedfs/releases/tag/4.24 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۵/۲۰
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۵/۲۰
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۷۷٪
احتمال بهره‌برداری در ۳۰ روز
۵۶٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-306Missing Authentication for Critical Function