CVE-2026-40937
Açıklama
RustFS, Rust ile oluşturulmuş dağıtık bir nesne depolama sistemidir. 1.0.0-alpha.94 sürümünden önce, `rustfs/src/admin/handlers/event.rs` dosyasındaki dört bildirim hedefi yönetici API uç noktasının tamamı, `validate_admin_request` aracılığıyla herhangi bir yönetici eylemi yetkilendirmesi yapmadan yalnızca kimlik doğrulamayı (erişim anahtarı + oturum belirteci) doğrulayan bir `check_permissions` yardımcısı kullanmaktadır. Kod tabanındaki diğer tüm yönetici işleyicileri, belirli bir `AdminAction` ile `validate_admin_request` fonksiyonunu doğru şekilde çağırmaktadır. Yetkilendirme işlemini atlayan tek yönetici işleyici dosyası budur. Yönetici olmayan bir kullanıcı, ortak olarak tanımlanmış bir yönetici bildirim hedefini ismiyle üzerine yazabilir ve böylece sonraki bucket olaylarının saldırgan tarafından kontrol edilen bir uç noktaya iletilmesine neden olabilir. Bu durum, kullanıcılar arası olay kestirme ve denetimden kaçınmaya olanak tanır. 1.0.0-alpha.94 sürümü bir yama içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rustfs rustfs | 1.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.