PT-2026-22000 · Rucio · Rucio

D-Woosley · Publicado 2026-02-25 · Atualizado 2026-02-26 · CVE-2026-25734

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Rucio anteriores a 35.8.3 Versões do Rucio anteriores a 38.5.4 Versões do Rucio anteriores a 39.3.1

Descrição O Rucio é um framework de software utilizado para organizar, gerenciar e acessar grandes volumes de dados científicos. Existe uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado nos metadados RSE da WebUI. Os atacantes podem injetar entradas maliciosas que são armazenadas pelo backend e, em seguida, exibidas na WebUI sem codificação adequada. Isso permite a execução de código JavaScript arbitrário no contexto da WebUI quando um usuário visualiza as páginas afetadas. Isso poderia potencialmente levar ao roubo de tokens de sessão ou ações não autorizadas. A vulnerabilidade afeta os atributos 'City', 'Country Name' e 'ISP' ao criar ou modificar RSEs por meio da interface Admin > Gerenciamento de RSE. Um atacante poderia utilizar uma requisição POST ao endpoint da API /proxy/rses/XSSTEST com um payload malicioso no corpo JSON para explorar essa vulnerabilidade. O impacto é ampliado pela ausência do flag HttpOnly em cookies de sessão e pela exposição de tokens de API em variáveis JavaScript. Um atacante poderia potencialmente criar uma nova identidade UserPass ou exfiltrar dados.

Recomendações Versões anteriores a 35.8.3 devem ser atualizadas para a versão 35.8.3 ou posterior. Versões anteriores a 38.5.4 devem ser atualizadas para a versão 38.5.4 ou posterior. Versões anteriores a 39.3.1 devem ser atualizadas para a versão 39.3.1 ou posterior. Garanta que todas as renderizações do lado do cliente de dados fornecidos pelo servidor ou controlados pelo usuário implementem escapamento HTML adequado antes da inserção no DOM. Implemente uma Política de Segurança de Conteúdo (CSP) estrita. Defina o flag HttpOnly em cookies de sessão. Evite expor tokens de API em variáveis acessíveis via JavaScript.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

CWE-1004

Identificadores relacionados

CVE-2026-25734

GHSA-H9FP-P2P9-873Q

Produtos afetados

Rucio

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/25xxx/CVE-2026-25734.json · Exploit
• 🔥 https://github.com/rucio/rucio/security/advisories/GHSA-h9fp-p2p9-873q · Exploit
• https://github.com/rucio/rucio · Nota
• https://github.com/rucio/rucio/releases/tag/38.5.4 · Nota
• https://github.com/rucio/rucio/releases/tag/39.3.1 · Nota
• https://github.com/rucio/rucio/releases/tag/35.8.3 · Nota
• https://osv.dev/vulnerability/GHSA-h9fp-p2p9-873q · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-25734 · Aviso do Fabricante
• https://twitter.com/_cvereports/status/2026766732094767571 · Publicação no Twitter
• https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html · Nota
• https://t.me/CVEtracker/45773 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-25734 · Nota de Segurança
• https://twitter.com/CVEnew/status/2027099292046172624 · Publicação no Twitter