CVE-2026-73290

Nome do Software Vulnerável e Versões Afetadas RustFS versões anteriores a 1.0.0-beta.12

Descrição Existe um problema onde solicitações anônimas de ListObjectVersions em rustfs/src/storage/access.rs que carecem de uma concessão direta de política de bucket retornam para uma verificação s3:ListBucket. Esse processo retorna antes que o caminho policy allowed possa aplicar deny anonymous table data plane if needed e RestrictPublicBuckets. Consequentemente, buckets que permitem listagem anônima podem continuar a expor listagens de versões mesmo após a ativação do controle de acesso público. Essa falha afeta o endpoint 'GET /?versions=' e pode divulgar metadados de versões de objetos, mesmo quando solicitações GetObject equivalentes são negadas.

Recomendações Atualize para a versão 1.0.0-beta.12.