🇰🇷 한글 설명
RustFS Console의 특정 PDF 미리보기 컴포넌트에서 확장자 기반 검증 미흡으로 인해 HTML 콘텐츠가 렌더링되는 취약점이 발견되었습니다. 이를 통해 관리자 콘솔 내에 저장형 XSS 공격이 가능하며, 관리자의 AccessKeyId, SecretAccessKey 및 SessionToken과 같은 민감한 인증 정보가 노출될 수 있습니다. 이 문제는 CVE-2026-27822의 회귀 취약점으로, 0.1.10 버전에서 수정되었습니다.
💡 쉬운 설명
악성 코드가 담긴 PDF 파일을 업로드하면 관리자 화면에서 해당 코드가 실행되어 관리자의 비밀 키를 훔쳐갈 수 있는 보안 결함입니다. 관리자 권한을 탈취당할 수 있으므로 매우 위험합니다.
🇺🇸 원문 (English)
RustFS Console is a web management console for the RustFS distributed file system. From 0.1.7 until 0.1.10, the RustFS Console components/object/preview-modal.tsx and components/object/pdf-viewer.tsx extension-based PDF preview path can render HTML content uploaded as .pdf, allowing stored cross-site scripting in the management console and exposure of administrator AccessKeyId, SecretAccessKey, and SessionToken values. This is caused by a regression of CVE-2026-27822. This vulnerability is fixed in 0.1.10.
📍 영향받는 시스템
RustFS Console 0.1.7 ~ 0.1.10 미만 버전
⚔️ 공격 벡터
악성 HTML이 포함된 .pdf 파일을 업로드하여 관리자가 이를 미리보기할 때 발생
🛡️ 대응 방법
RustFS Console을 최신 보안 패치가 적용된 0.1.10 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 0.1.7에서 0.1.10 사이의 버전이 나타나면 해당 취약점에 노출된 상태입니다.
curl -s http://<target-ip>/version | grep -E '0\.1\.[7-9]|0\.1\.10'