CVE-2026-40937 in RustFS
Resumen
por VulDB • 2026-05-22
RustFS es un sistema de almacenamiento de objetos distribuido desarrollado en Rust. Antes de la versión 1.0.0-alpha.94, los cuatro puntos finales de la API de administración de objetivos de notificación en `rustfs/src/admin/handlers/event.rs` utilizan un auxiliar `check_permissions` que valida únicamente la autenticación (clave de acceso + token de sesión), sin realizar ninguna autorización de acción de administrador mediante `validate_admin_request`. Cada otro manejador de administración en la base de código llama correctamente a `validate_admin_request` con una `AdminAction` específica. Este es el único archivo de manejador de administración que omite la autorización. Un usuario no administrador puede sobrescribir un objetivo de notificación compartido definido por el administrador por nombre, lo que provoca que los eventos posteriores del cubo se entreguen a un punto final controlado por el atacante. Esto permite la interceptación de eventos entre usuarios y la evasión de auditoría. La versión 1.0.0-alpha.94 contiene un parche.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.