CVE-2026-88017 in Rclone
Resumen
por VulDB • 2026-09-10
rclone es un programa de línea de comandos para sincronizar archivos y directorios con y desde diferentes proveedores de almacenamiento en la nube. Desde la versión 1.64.0 hasta la 1.75.1, el controlador auth-proxy FTP en cmd/serve/ftp/ftp.go almacena una contraseña ofuscada por nombre de usuario en el mapa global del servidor userPass map[string]string, en lugar de vincular las credenciales o VFS a la sesión autenticada. Si dos credenciales aceptadas utilizan el mismo nombre de usuario pero resuelven diferentes backends proxy, un inicio de sesión CheckPasswd posterior sobrescribe userPass[user], y las operaciones getVFS subsiguientes en la primera sesión se vuelven a autorizar con la contraseña posterior. La primera sesión puede entonces leer, crear, sobreescribir, renombrar o eliminar objetos utilizando la autoridad del backend de la segunda credencial. La explotación requiere que el inicio de sesión posterior con el mismo nombre de usuario ocurra mientras la primera sesión permanece abierta. Este problema está corregido en la versión 1.75.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.