CVE-2026-97731

7aac2a2 sürümüne kadar olan MinIO, bir istekte bulunan her x-amz-* başlığının istemci tarafından sağlanan X-Amz-SignedHeaders listesinde de yer aldığını doğrulamamaktadır. cmd/signature-v4-utils.go dosyasındaki extractSignedHeaders() fonksiyonu yalnızca beyan edilen listeyi yinelemekte ve gerçekte gelen başlıkları hiçbir zaman numaralandırmamaktadır; bu nedenle imzalanmamış olarak gelen bir başlık ne kanonik isteğe hash'lenir ne de reddedilir. cmd/api-router.go dosyası CopyObject işlemini yalnızca x-amz-copy-source başlığının varlığına göre yönlendirdiği için, tek bir nesneyle sınırlandırılmış önceden imzalı bir PUT URL sahibi, bu başlığı değiştirilmemiş URL'ye ekleyebilir ve imzalayan kişi adına, imzalama anahtarının okuyabildiği herhangi bir nesnenin sunucu tarafında kopyalanmasına neden olabilir. Tek bir nesneyi yazma yetkisi, söz konusu anahtarın erişebildiği her kovayı okuma yetkisine dönüşmektedir. Amazon S3, eşdeğer isteği HTTP 403 AccessDenied ile reddeder. minio/minio GitHub deposu Nisan 2026'da arşivlendi; 1233254 sürümü öncesindeki pgsty/silo da etkilenmiştir.