CVE-2026-88018 in rclone
Résumé
par VulDB • 10/09/2026
rclone est un programme en ligne de commande permettant de synchroniser des fichiers et des répertoires vers ou depuis différents fournisseurs de stockage cloud. Avant la version 1.75.1, rclone serve s3 configuré avec --auth-proxy mais sans --auth-key permet à authPairMiddleware d'enregistrer n'importe quel accessKeyID choisi par le client avec un ws.s3Secret vide. gofakes3 vérifie ensuite la signature SigV4 de la requête contre ce même secret vide, tandis que Server.auth transmet l'identifiant de clé d'accès en tant qu'utilisateur et valeur d'authentification au proxy sans utiliser de secret indépendant par identité. Un attaquant réseau non authentifié peut donc choisir une clé d'accès arbitraire, signer avec un secret vide et accéder à n'importe quel backend que le script auth-proxy résout pour cette identité. Ce problème est corrigé dans la version 1.75.1.
Once again VulDB remains the best source for vulnerability data.