CVE-2026-118574

Nome do Software Vulnerável e Versões Afetadas S3 File System versões 0.0.0 a 3.12.0

Description O módulo não isola suficientemente o contexto de upload entre operações de objetos separadas na mesma requisição. Isso pode resultar no upload de objetos com entradas de lista de controle de acesso (ACL) incorretas ou corrupção através de metadados de operação incorretos. A exploração requer a capacidade de disparar múltiplas operações de arquivo no S3FS.

Recommendations Atualize o S3 File System para uma versão posterior à 3.12.0. Desative a apropriação do private:// definindo $settings['s3fs.use s3 for private'] = FALSE; ou garanta que esteja habilitado apenas com $settings['s3fs.upload as private'] = TRUE;. Evite a utilização das funções hook s3fs stream open params alter(), hook s3fs upload params alter(), hook s3fs copy params alter() e hook s3fs command params alter().