Falsificación de solicitudes del lado del servidor (SSRF) no autenticado en SeaweedFS

Fecha de publicación 12/08/2026

Identificador

INCIBE-2026-547

Importancia

5 - Crítica

Recursos Afectados

SeaweedFS versiones anteriores a la 0.0.0-20260512171120-69da20bdaec9.

Descripción

KadirArslan ha publicado una vulnerabilidad de severidad crítica en SeaweedFS que, en caso de ser explotada, podría permitir a un atacante acceder a servicios internos que de otro modo no estarían expuestos.

Solución

Actualizar a la versión 0.0.0-20260512171120-69da20bdaec9.

Detalle

CVE-2026-73080: la función 'VolumeServer.FetchAndWriteNeedle' no autentica ni valida el objetivo de sus peticiones. Un atacante podría inducir al servidor de forma remota a realizar solicitudes contra hosts arbitrarios y leer sus respuestas, lo que puede resultar en la exposición de metadatos y credenciales IAM en entornos cloud, así como permitir el acceso a servicios internos no expuestos.

CVE