CVE-2025-27088
Açıklama
oxyno-zeta/s3-proxy, Go ile yazılmış bir AWS S3 proxy servisidir. Etkilenen sürümlerde bulunan bir Yansıtılan Siteler Arası Betik Çalıştırma (Reflected XSS) zafiyeti, saldırganların ziyaret edildiğinde web uygulamasına betikler enjekte eden kötü amaçlı URL'ler oluşturmasına olanak tanır. Bu durum, güvenilir bir alan adı üzerinde oturum çalma veya kimlik avı saldırılarına yol açarak tüm kullanıcılar için orta düzeyde bir risk oluşturur. folder-list şablonu aracılığıyla betikler dahil olmak üzere HTML öğeleri enjekte etmek mümkündür. Etkilenen şablon, kullanıcıların `Request.URL.Path` değişkeni tarafından sağlanan URL yoluyla etkileşime girmesine izin verir ve bu değer uygun temizleme veya kaçış işlemleri yapılmadan doğrudan HTML içine işlenir. Bu durum, enjekte edilmiş HTML veya JavaScript içeren kötü amaçlı bir URL hazırlayan saldırganlar tarafından istismar edilebilir. Kullanıcılar böyle bir URL'yi ziyaret ettiğinde, kötü amaçlı betik kullanıcının bağlamında yürütülür. Bu sorun 4.18.1 sürümünde giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- oxyno-zeta s3-proxy2.23.1, 4.18.1 ya da sonraki bir sürüm
- github.com/oxyno-zeta/s3-proxy/cmd/s3-proxy0.0.0-20250220214310-c611c741ed48 ya da sonraki bir sürüm
- github.com/oxyno-zeta/s3-proxy0.0.0-20250220214310-c611c741ed48 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| oxyno-zeta s3-proxy | v < 2.23.1, v < 4.18.1 | 2.23.1, 4.18.1 |
| github.com/oxyno-zeta/s3-proxy/cmd/s3-proxyGo | v < 0.0.0-20250220214310-c611c741ed48 | 0.0.0-20250220214310-c611c741ed48 |
| github.com/oxyno-zeta/s3-proxyGo | v < 0.0.0-20250220214310-c611c741ed48 | 0.0.0-20250220214310-c611c741ed48 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.