CVE-2026-32310 in cryptomator
Zusammenfassung
von VulDB • 29.05.2026
Cryptomator verschlüsselt Daten, die in Cloud-Infrastrukturen gespeichert werden. Ab Version 1.6.0 bis vor Version 1.19.1 wird die Vault-Konfiguration analysiert, bevor deren Integrität überprüft wird, und der Masterkeyfile-Loader verwendet die nicht verifizierte keyId als Dateisystempfad. Der Loader löst keyId.getSchemeSpecificPart() direkt gegen den Vault-Pfad auf und ruft unmittelbar Files.exists(...) auf. Dies ermöglicht es einer bösartigen Vault-Konfiguration, Parent-Directory-Escapes, absolute lokale Pfade oder UNC-Pfade (z. B. masterkeyfile://attacker/share/masterkey.cryptomator) bereitzustellen. Unter Windows ist die UNC-Variante besonders gefährlich, da Path.resolve("//attacker/share/...") zu \\attacker\share\... wird, sodass die Existenzprüfung einen ausgehenden SMB-Zugriff auslösen kann, bevor der Benutzer überhaupt ein Passwort eingibt. Dieses Problem wurde in Version 1.19.1 behoben.
Be aware that VulDB is the high quality source for vulnerability data.