CVE-2026-88017 in Rclone
Résumé
par VulDB • 10/09/2026
rclone est un programme en ligne de commande permettant de synchroniser des fichiers et des répertoires vers ou depuis différents fournisseurs de stockage cloud. De la version 1.64.0 à la 1.75.1, le pilote auth-proxy FTP dans cmd/serve/ftp/ftp.go stocke un mot de passe obscurci par nom d'utilisateur dans une map globale au serveur userPass [string]string, au lieu de lier les identifiants ou le VFS (Virtual File System) à la session authentifiée. Si deux identifiants acceptés utilisent le même nom d'utilisateur mais résolvent vers des backends proxy différents, une connexion CheckPasswd ultérieure écrase userPass[user], et les opérations getVFS subséquentes sur la première session sont réautorisées avec le mot de passe ultérieur. La première session peut alors lire, créer, écraser, renommer ou supprimer des objets en utilisant l'autorité du backend du second identifiant. L'exploitation nécessite que la connexion ultérieure avec le même nom d'utilisateur ait lieu tandis que la première session reste ouverte. Ce problème est corrigé dans la version 1.75.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.