Rust にプレビューモーダルに Critical な Stored XSS が存在し、管理者のアカウント乗っ取りにつながる

このXSS脆弱性は、攻撃者がRustFS Consoleの管理コンソール内で任意のJavaScriptコードを実行することを可能にします。攻撃者はPDFプレビュー機能を悪用し、管理者の資格情報がlocalStorageに保存されていることを利用して、資格情報を盗み出すことができます。盗み出された資格情報を使用することで、攻撃者は管理者のアカウントを乗っ取り、RustFS Consoleの完全な制御権を獲得し、機密データの漏洩、システムの改ざん、さらにはシステム全体の停止を引き起こす可能性があります。この脆弱性は、類似のXSS攻撃と同様に、広範囲な影響を及ぼす可能性があります。

Organizations utilizing RustFS Console for file storage and management are at risk, particularly those relying on the console for administrative tasks. Environments with shared hosting configurations or legacy RustFS Console deployments are especially vulnerable due to potentially outdated security practices and unpatched systems.

• rust: Examine RustFS Console logs for unusual file preview requests or JavaScript execution attempts. • generic web: Use curl to test file preview endpoints with specially crafted payloads designed to trigger XSS.

curl -X POST -d 'payload=<script>alert(1)</script>' <rustfs_console_preview_url>

• generic web: Review access and error logs for patterns indicative of XSS attempts, such as requests containing <script> tags or other suspicious characters. • generic web: Check response headers for unexpected content types or other anomalies that might indicate a successful XSS attack.

1. 2026-02-25Disclosure

   disclosure

1. 予約済み2026-02-24
2. 公開日2026-02-25
3. EPSS 更新日2026-03-23

RustFS Consoleのバージョンを1.0.0-alpha.83以降にアップデートすることが、この脆弱性に対する最も効果的な対策です。アップデートがシステムに影響を与える場合は、一時的にRustFS ConsoleのPDFプレビュー機能を無効化することを検討してください。また、Webアプリケーションファイアウォール(WAF)やリバースプロキシを使用して、悪意のあるJavaScriptコードの実行をブロックすることも有効です。RustFS Consoleのログを監視し、不審なアクティビティを検出するためのカスタムの検出ルールを作成することも推奨されます。アップデート後、RustFS Consoleのバージョンが1.0.0-alpha.83であることを確認してください。