CVE-2025-27136

LocalS3, test ve yerel geliştirme için bir Amazon S3 mock servisidir. Versiyon 1.21 öncesinde, LocalS3 servisinin bucket oluşturma uç noktası XML External Entity (XXE) enjeksiyonuna karşı savunmasızdır. Bucket oluşturma sırasında CreateBucketConfiguration XML belgesi işlenirken, servisin XML ayrıştırıcısı harici varlıkları çözümleyecek şekilde yapılandırılmıştır. Bu durum, bir saldırganın dahili bir URL'ye referans veren harici bir varlık tanımlamasına ve sunucunun XML'i ayrıştırırken bu URL'yi getirmeye çalışmasına olanak tanır. Zafiyet, özellikle XML ayrıştırıcısının uygun doğrulama veya kısıtlamalar olmadan harici varlıkları çözümlediği konum kısıtlaması (location constraint) işlemede meydana gelir. Harici varlık çözümlendiğinde, sunucu belirtilen URL'ye bir HTTP isteği gönderir ve yanıt içeriğini ayrıştırılan XML belgesine dahil eder. Bu zafiyet, sunucu taraflı istek sahteciliği (SSRF) saldırıları gerçekleştirmek için kullanılabilir ve bir saldırganın dış ağlardan erişilememesi gereken dahili servislere veya kaynaklara istek göndermesine izin verir. Sunucu, bu dahili isteklerden gelen yanıtları sonuçlanan bucket konfigürasyonuna ekleyerek hassas bilgilerin sızmasına neden olur. Saldırganın bu zafiyeti istismar etmek için yalnızca LocalS3 servisine HTTP istekleri gönderebilmesi yeterlidir.