CVE-2026-97731

MinIO 7aac2a2 versiyasına qədər olan versiyalarda sorğuda mövcud olan hər bir x-amz-* başlığının müştəri tərəfindən təqdim edilən X-Amz-SignedHeaders siyahısında olub-olmadığı yoxlanılmır. cmd/signature-v4-utils.go faylındakı extractSignedHeaders() funksiyası yalnız bəyan edilmiş siyahını nəzərdən keçirir və faktiki olaraq daxil olan başlıqları sadalamır, buna görə də imzalanmamış şəkildə gələn başlıq nə kanonik sorğuya heşlənir, nə də rədd edilir. cmd/api-router.go faylı CopyObject əməliyyatını yalnız x-amz-copy-source başlığının mövcudluğu əsasında yönləndirdiyi üçün, tək bir obyekt üçün təyin edilmiş öncədən imzalanmış (presigned) PUT URL-nin sahibi həmin başlığı dəyişdirilməmiş URL-ə əlavə edə bilər və imzalayan şəxs kimi, imza açarının oxuya bildiyi istənilən obyektin server tərəfli kopyalanmasına səbəb ola bilər. Bir obyekti yazmaq icazəsi, həmin açarın çatdığı hər bir bucket-i oxumağa çevrilir. Amazon S3 ekvivalent sorğunu HTTP 403 AccessDenied ilə rədd edir. minio/minio GitHub repozitoriyası 2026-cı ilin aprel ayında arxivlənmişdir; pgsty/silo 1233254 versiyasından əvvəlki versiyaları da bu problemdən təsirlənib.