PT-2026-22001 · Rucio · Rucio

D-Woosley

·

Publicado

2026-02-25

·

Atualizado

2026-02-26

·

CVE-2026-25735

CVSS v3.1

6.1

Média

VetorAV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:N
Nome do Software Vulnerável e Versões Afetadas Rucio versões anteriores a 35.8.3, 38.5.4 e 39.3.1
Descrição O Rucio é um framework de software utilizado para organizar, gerenciar e acessar grandes volumes de dados científicos. Existe uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado no campo Nome da Identidade da WebUI. Atacantes podem injetar código malicioso que é salvo pelo backend e exibido na WebUI sem codificação adequada. Isso permite a execução de código JavaScript arbitrário no contexto da WebUI quando um usuário visualiza as páginas afetadas, podendo levar ao roubo de tokens de sessão ou ações não autorizadas. A vulnerabilidade é acionada ao enviar um payload malicioso por meio de uma requisição POST para o endpoint da API /proxy/accounts/{account}/identities, especificamente no parâmetro identity. O payload é armazenado e executado ao visualizar os detalhes da conta. Um atacante pode potencialmente criar uma nova identidade UserPass root ou exfiltrar dados.
Recomendações Versões anteriores a 35.8.3 devem ser atualizadas para a versão 35.8.3 ou posterior. Versões anteriores a 38.5.4 devem ser atualizadas para a versão 38.5.4 ou posterior. Versões anteriores a 39.3.1 devem ser atualizadas para a versão 39.3.1 ou posterior.

Exploit

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2026-25735
GHSA-8WPV-6X3F-3RM5

Produtos afetados

Rucio