CVE-2026-73265
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W RustFS autoryzacja jawnych odczytów versionId w GetObject, źródłach CopyObject i UploadPartCopy używa s3:GetObject zamiast s3:GetObjectVersion. Osoby bez uprawnień do wersji historycznych mogą ujawnić znaną zawartość historycznych obiektów.
Ocena ryzyka
Ryzyko ujawnienia danych historycznych, które powinny być chronione. Może to naruszyć poufność i zasady dostępu do wersji obiektów.
Rekomendacja
Zaktualizuj RustFS do wersji 1.0.0-beta.11 lub nowszej, która zawiera poprawkę. Upewnij się, że autoryzacja używa odpowiednich akcji dla wersji.
Oryginalny opis (angielski, źródło NVD)
RustFS is a distributed object storage system built in Rust. RustFS authorizes explicit versionId reads in GetObject, CopyObject sources, and UploadPartCopy sources with s3:GetObject instead of s3:GetObjectVersion, allowing principals without historical-version permission to disclose known historical object content. This issue is fixed in version 1.0.0-beta.11.