SeaweedFS: Path traversal in the S3 gateway X-Amz-Copy-Source header allows cross-bucket object read — GHSA-56WQ-X3WV-3FF4

GitHub · GitHub · GHSA-56WQ-X3WV-3FF4

ID
GHSA-56WQ-X3WV-3FF4

Datum
2026-08-28

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
7.7

EPSS
0.00606

Zusammenfassung

### Summary The SeaweedFS S3 API gateway did not reject `..` path segments in the `X-Amz-Copy-Source` header used by `CopyObject` and `UploadPartCopy`. The request URL path was hardened against traversal in 4.30 (CVE-2026-54917), but the copy-source header was only checked for emptiness, so a `..` segment in the copy source survived into the server-side filer path and resolved into a different bucket. ### Impact A…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-08-28

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 7.7 von 10.
Gemeldeter EPSS-Wert: 0.00606.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: go: github.com/seaweedfs/seaweedfs.

Produkt

go: github.com/seaweedfs/seaweedfs

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-56WQ-X3WV-3FF4
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-08-28
Letzte Quellenaktivität: 2026-08-28
Weitere Kennungen: CVE-2026-55874
Kuratiert von: hlukh.ch