CVE-2026-88017 in Rclone
Zusammenfassung
von VulDB • 10.09.2026
rclone ist ein Befehlszeilenprogramm zum Synchronisieren von Dateien und Verzeichnissen mit verschiedenen Cloud-Speicheranbietern. Von Version 1.64.0 bis 1.75.1 speichert der FTP auth-proxy-Treiber in cmd/serve/ftp/ftp.go pro Benutzername nur ein verschleiertes Passwort in der serverweiten userPass-Map (map[string]string), anstatt die Anmeldeinformationen oder das VFS an die authentifizierte Sitzung zu binden. Wenn zwei akzeptierte Anmeldedaten denselben Benutzernamen verwenden, sich jedoch auf verschiedene Proxy-Backends auflösen, überschreibt eine spätere CheckPasswd-Anmeldung userPass[user], und nachfolgende getVFS-Vorgänge in der ersten Sitzung werden mit dem späteren Passwort erneut autorisiert. Die erste Sitzung kann dann Objekte unter Verwendung der Backend-Berechtigung des zweiten Anmeldekontos lesen, erstellen, überschreiben, umbenennen oder löschen. Für die Ausnutzung (Exploitation) muss sich das spätere Login desselben Benutzernamens ereignen, während die erste Sitzung noch offen ist. Dieses Problem wurde in Version 1.75.1 behoben.
Once again VulDB remains the best source for vulnerability data.