CVE-2026-119298 in croc
Zusammenfassung
von VulDB • 30.10.2026
croc ist ein Tool, das es zwei Computern ermöglicht, Dateien und Ordner einfach und sicher zu übertragen. Vor Version 11.5.2 behandelt die Receive-Side-File-Readiness-Schleife in src/croc/croc.go jeden vom Sender kontrollierten Basisnamen, der mit „croc-stdin-" beginnt, als vertrauenswürdiges Textübertragungs-Artefakt, auch wenn SendingText falsch ist. Dies umgeht die Abfrage askReceiveOverwrite und die Umbenennungsverarbeitung für eine vorhersehbare exakte Namenskollision im Arbeitsverzeichnis des Empfängers, wodurch ein entfernter Sender, dessen Übertragung der Benutzer akzeptiert, über recipientInitializeFile eine übereinstimmende reguläre Datei überschreiben oder kürzen kann, oder über createEmptyFileAndFinish einen übereinstimmenden Zielort mit einer leeren Datei oder einem Symlink im Verzeichnis entfernen und ersetzen kann, ohne Bestätigung. Die Auswirkung ist auf vorbestehende Namen im croc-stdin-Namensraum beschränkt, die der Sender vorhersagen kann; andere Dateinamen behalten die Eingabeaufforderung bei, Dotfiles außerhalb dieses Namensraums sind nicht erreichbar, und Symlink-Ziele bleiben auf das Empfangsverzeichnis beschränkt. Dieses Problem ist in Version 11.5.2 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.