Rust 存在预览模态中的 CRITICAL 存储型 XSS 漏洞，可能导致管理帐户接管

该 XSS 漏洞的潜在影响非常严重。攻击者可以利用此漏洞执行恶意 JavaScript 代码，窃取存储在 localStorage 中的管理员凭据。一旦获取了管理员凭据，攻击者就可以完全接管 RustFS Console，并对系统进行未经授权的访问和操作。攻击者可以修改配置、窃取数据、甚至完全控制受影响的系统。由于漏洞利用相对简单，且管理员权限的获取可能导致广泛的破坏，因此该漏洞的风险极高。类似攻击模式可能导致数据泄露和业务中断。

Organizations utilizing RustFS Console for file storage and management are at risk, particularly those relying on the console for administrative tasks. Environments with shared hosting configurations or legacy RustFS Console deployments are especially vulnerable due to potentially outdated security practices and unpatched systems.

• rust: Examine RustFS Console logs for unusual file preview requests or JavaScript execution attempts. • generic web: Use curl to test file preview endpoints with specially crafted payloads designed to trigger XSS.

curl -X POST -d 'payload=<script>alert(1)</script>' <rustfs_console_preview_url>

• generic web: Review access and error logs for patterns indicative of XSS attempts, such as requests containing <script> tags or other suspicious characters. • generic web: Check response headers for unexpected content types or other anomalies that might indicate a successful XSS attack.

1. 2026-02-25Disclosure

   disclosure

1. 已保留2026-02-24
2. 发布日期2026-02-25
3. EPSS 更新日期2026-03-23

为了减轻 CVE-2026-27822 漏洞的风险，首要措施是立即升级到 RustFS Console 1.0.0-alpha.83 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：严格审查所有上传到 RustFS Console 的文件，特别是 PDF 文件，以防止恶意代码注入。实施严格的输入验证和输出编码，以防止 XSS 攻击。考虑使用 Web 应用防火墙 (WAF) 来过滤恶意请求。升级后，请验证系统是否已成功应用补丁，并检查日志中是否存在任何异常活动。