CVE-2026-46685
Açıklama
RustFS, Rust ile oluşturulmuş dağıtık bir nesne depolama sistemidir. 1.0.0-beta.2 sürümünden önce, RUSTFS_CORS_ALLOWED_ORIGINS ayarlanmadığında, RustFS S3 dinleyicisinin ConditionalCorsLayer bileşeni herhangi bir istek Origin değerini Access-Control-Allow-Origin olarak geri yansıtır ve ayrıca ön uç (preflight) yanıtları ile hata yanıtları dahil olmak üzere yanıtlarda Access-Control-Allow-Credentials: true ve Access-Control-Allow-Headers: * değerlerini ayarlar. Bu durum, güvenilmeyen kökenlerle izin verici bir çapraz alan politikası oluşturur. Saldırgan tarafından kontrol edilen bir sayfayı ziyaret eden tarayıcı; kurban tarayıcının kayıtlı HTTP Basic Auth kimlik bilgileri, ters proxy SSO çerezleri veya TLS istemci sertifikaları gibi RustFS kökeni için ortam kimlik bilgilerine sahip olduğu durumlarda, erişilebilir bir RustFS kurulumuna kimlik doğrulamalı çapraz köken istekleri gönderebilir ve yanıtı okuyabilir. Bu güvenlik açığı 1.0.0-beta.2 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rustfs rustfs | < 1.0.0-beta.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.