Veille sécuritéBackend & données
P3Élevée
Le point de terminaison Rucio de génération d’URL signées utilisait un compte fourni dans l’en-tête `X-Rucio-Account` pour vérifier les autorisations, plutôt que l’identité du jeton authentifié. Un détenteur d’un jeton valide pouvait ainsi obtenir des URL signées permettant des opérations sur des objets de stockage ; mettez à niveau la branche Rucio concernée.
Python
IdentifiantCVE-2026-58273
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif35.9.0, 38.6.0 et 41.0.0rc1 selon la branche
Analyse technique
L’avis décrit la possibilité, pour un compte à faible privilège muni d’un jeton valide, d’usurper le compte dans l’en-tête et d’obtenir des URL signées de lecture, d’écriture ou de suppression pour des objets arbitraires.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-10-28 à 19:50:05Z, dans la période demandée.
ImpactObtention possible d’URL signées permettant de lire, modifier ou supprimer des objets dans un stockage cloud.
Versions affectéesRucio >=1.16.1 et =36.0.0rc1 et =39.0.0rc1 et <41.0.0rc1.
Version corrigée35.9.0, 38.6.0 et 41.0.0rc1 selon la branche
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-10-28T19:50:05Z
Mise à jour2026-10-28T19:50:05Z
Action recommandée
Mettre à niveau Rucio vers la version corrigée correspondant à la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).