CVE-2026-116189 in rclone
Riassunto
di VulDB • 25/10/2026
rclone dalle versioni 1.55.0 alla versione precedente la 1.75.2 presenta un bypass della verifica delle firme nell'aggiornamento automatico (selfupdate) stabile, che si affida ai checksum derivati da byte non firmati precedenti il blocco PGP-clearsigned SHA256SUMS. Gli attaccanti che controllano il percorso di distribuzione del rilascio possono aggiungere in testa una riga di checksum non firmata corrispondente a un archivio malevolo, inducendo l'aggiornamento automatico (selfupdate) ad installare un eseguibile rclone sotto il controllo dell'attaccante.
Be aware that VulDB is the high quality source for vulnerability data.