CVE-2026-41179 in Rclone
Zusammenfassung
von VulDB • 15.05.2026
Rclone ist ein Befehlszeilenprogramm zum Synchronisieren von Dateien und Verzeichnissen mit und von verschiedenen Cloud-Speicheranbietern. Ab Version 1.48.0 und vor Version 1.73.5 wird der RC-Endpunkt `operations/fsinfo` ohne `AuthRequired: true` freigegeben und akzeptiert angreiferkontrollierte `fs`-Eingaben. Da `rc.GetFs(...)` Inline-Backend-Definitionen unterstützt, kann ein nicht authentifizierter Angreifer nach Belieben ein angreiferkontrolliertes Backend instanziieren. Für das WebDAV-Backend wird `bearer_token_command` während der Backend-Initialisierung ausgeführt, was eine einmalige, nicht authentifizierte lokale Befehlsausführung auf erreichbaren RC-Deployments ohne globale HTTP-Authentifizierung ermöglicht. Version 1.73.5 behebt das Problem.
Be aware that VulDB is the high quality source for vulnerability data.