VULNERABILIDADDetectada 08 NOV · 23:32

CVE-2026-124509 Recorrido de directorios en floci-io Floci, S3Destination.bucketName

La manipulación del argumento BucketARN en S3Destination.bucketName de services/firehose/model/DeliveryStreamDescription.java permite recorrido de directorios. El ataque puede lanzarse de forma remota y el exploit es público. Se corrige en la versión 2.2.0.

7.3ALTA

CVSS 3.1

CVSS 4.06.9 · media
Probabilidad de explotación · EPSS del 09/110,5 % · percentil 44
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

floci-io Floci
2.02.1.0

Qué hacer

Verificá si usás Floci y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.3 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:O/RC:C

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadBaja
IntegridadBaja
DisponibilidadBaja
Madurez del exploitPrueba de concepto
Nivel de remediaciónCorrección oficial
Confianza del informeConfirmada

CVSS 4.0 · 6.9 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataqueNinguno
Privilegios requeridosNinguno
Interacción del usuarioNinguna
Confidencialidad (sistema vulnerable)Baja
Integridad (sistema vulnerable)Baja
Disponibilidad (sistema vulnerable)Baja
Confidencialidad (sistemas posteriores)Ninguna
Integridad (sistemas posteriores)Ninguna
Disponibilidad (sistemas posteriores)Ninguna
Madurez del exploitPrueba de concepto

CVSS 3.0 · 7.3 ALTA

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:O/RC:C

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadBaja
IntegridadBaja
DisponibilidadBaja
Madurez del exploitPrueba de concepto
Nivel de remediaciónCorrección oficial
Confianza del informeConfirmada

Descripción original

A vulnerability was identified in floci-io Floci up to 2.1.0. The affected element is the function S3Destination.bucketName of the file services/firehose/model/DeliveryStreamDescription.java of the component S3 Destination Configuration Handler. Such manipulation of the argument BucketARN leads to path traversal. The attack can be launched remotely. The exploit is publicly available and might be used. Upgrading to version 2.2.0 is sufficient to fix this issue. The name of the patch is b986b95074ef524019be7af51e1df172e48faa4b. You should upgrade the affected component.

Referencias (9)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.