CVE-2026-73290 in RustFS
Resumen
por VulDB • 2026-08-12
RustFS es un sistema de almacenamiento de objetos distribuido desarrollado en Rust. Antes de la versión 1.0.0-beta.12, una solicitud ListObjectVersions anónima en rustfs/src/storage/access.rs que carece de una concesión directa de política de bucket (bucket-policy) recurre a una comprobación s3:ListBucket y devuelve el resultado antes de que se aplique la ruta policy_allowed para ejecutar deny_anonymous_table_data_plane_if_needed y RestrictPublicBuckets; por lo tanto, un bucket que permite listados anónimos puede seguir exponiendo listados de versiones después de que un operador active los controles de acceso público. La vulnerabilidad afecta a GET /<bucket>?versions= y puede revelar metadatos de las versiones de objetos incluso cuando se deniegan solicitudes GetObject equivalentes. Este problema está corregido en la versión 1.0.0-beta.12.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.