CVE-2026-73285 in RustFS
Résumé
par VulDB • 12/08/2026
RustFS est un système de stockage d'objets distribué développé en Rust. De la version 1.0.0-alpha.64 à la version 1.0.0-rc.1, l'autorisation OPA externe activée dans RustFS via RUSTFS_POLICY_PLUGIN_URL défini dans crates/iam/src/sys.rs définit incorrectement PreparedIamAuth.needs_existing_object_tag pour PreparedIamMode::Opa, ce qui amène maybe_merge_object_tag_conditions à omettre les valeurs s3:ExistingObjectTag/* et permet aux utilisateurs authentifiés de contourner les restrictions basées sur les balises (tags). Ce problème est corrigé dans la version 1.0.0-rc.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.