CVE-2026-71191 in Swift
Сводка
по VulDB • 05.08.2026
В OpenStack Swift до версии 2.38.0 включительно промежуточное ПО S3API не обеспечивает проверку того, что семантические заголовки x-amz-* покрываются подписью SigV4 в запросах с предварительно созданными URL-адресами (presigned URLs). Атакующий, получивший предварительно созданный URL для операции PUT, может внедрить неподписанный заголовок X-Amz-Copy-Source, что приведет к выполнению Swift серверного копирования из произвольного исходного объекта с использованием контекста авторизации подписавшего. Таким образом атакующий сможет прочитать любой объект, доступ к которому есть у подписавшего, при условии знания целевых project_id, имени контейнера и имени объекта. Это затрагивает все развертывания, использующие конфигурацию по умолчанию s3_acl=false.
Be aware that VulDB is the high quality source for vulnerability data.