Vulnerabilidad en lakeFS (CVE-2026-26187)

lakeFS es una herramienta de código abierto que transforma el almacenamiento de objetos en repositorios similares a Git. Antes de la versión 1.77.0, el adaptador de bloque local (pkg/block/local/adapter.go) permitía a los usuarios autenticados leer y escribir archivos fuera de sus límites de almacenamiento designados. La función verifyRelPath utilizaba strings.HasPrefix() para verificar que las rutas solicitadas estuvieran dentro del directorio de almacenamiento configurado. Esta verificación era insuficiente porque validaba solo el prefijo de la ruta sin requerir un separador de ruta, lo que permitía el acceso a directorios hermanos con nombres similares. Además, el adaptador verificaba que las rutas resueltas permanecieran dentro de la ruta base del adaptador, pero no verificaba que los identificadores de objeto permanecieran dentro de su espacio de nombres de almacenamiento designado. Esto permitía a los atacantes utilizar secuencias de salto de ruta en el identificador de objeto para acceder a archivos en otros espacios de nombres. Corregido en la versión v1.77.0.