S3Proxy allows insecure path traversal in filesystem and filesystem-nio2 storage backends
Impact
Users of the filesystem and filesystem-nio2 storage backends could unintentionally expose local files to authenticated clients.
Patches
Upgrade to S3Proxy 2.6.0 which includes apache/jclouds@b0819e0ef5e08c792a4d1724b938714ce9503aa3 and 86b6ee4749aa163a78e7898efc063617ed171980.
Workarounds
None
References
Privately reported by XBOW Team @xbow-security.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | org.gaul:s3proxy | < 2.6.0 | 2.6.0 |
Odnośniki
- https://github.com/gaul/s3proxy/security/advisories/GHSA-2ccp-vqmv-4r4x
- https://nvd.nist.gov/vuln/detail/CVE-2025-24961
- https://github.com/apache/jclouds/commit/b0819e0ef5e08c792a4d1724b938714ce9503aa3
- https://github.com/gaul/s3proxy/commit/86b6ee4749aa163a78e7898efc063617ed171980
- https://github.com/gaul/s3proxy
- Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N- Słabość (CWE)
CWE-22- Platforma
- Java / Kotlin (Maven)
- Paczka
org.gaul:s3proxy- Ujawniono
- 03.02.2025
- Aktualizacja
- 11.10.2026 12:21
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-2ccp-vqmv-4r4x - CC BY 4.0
Historia podatności: org.gaul:s3proxy
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.