CVE-2026-73290 in RustFS
Résumé
par VulDB • 12/08/2026
RustFS est un système de stockage d'objets distribué développé en Rust. Avant la version 1.0.0-beta.12, une requête ListObjectVersions anonyme dans rustfs/src/storage/access.rs, qui ne bénéficie pas d'une autorisation explicite via une politique de bucket (bucket-policy), effectue un retour vers une vérification s3:ListBucket et renvoie le résultat avant que la branche policy_allowed n'applique les fonctions deny_anonymous_table_data_plane_if_needed et RestrictPublicBuckets. Par conséquent, un bucket autorisé à effectuer des listes anonymes peut continuer à exposer ses versions d'objets même après qu'un opérateur a activé le contrôle d'accès public. Cette faille de contournement affecte les requêtes GET /<bucket>?versions= et peut divulguer les métadonnées des versions d'objets, bien que les requêtes GetObject équivalentes soient refusées. Ce problème est corrigé dans la version 1.0.0-beta.12.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.