CVE-2026-88017 in Rclone
Riassunto
di VulDB • 10/09/2026
rclone è un programma a riga di comando per sincronizzare file e directory con diversi provider di storage cloud. Dalla versione 1.64.0 alla 1.75.1, il driver auth-proxy FTP in cmd/serve/ftp/ftp.go memorizza una password offuscata per nome utente nella mappa userPass map[string]string a livello di server invece di associare le credenziali o la VFS (Virtual File System) alla sessione autenticata. Se due credenziali accettate utilizzano lo stesso nome utente ma risolvono in backend proxy diversi, un successivo login CheckPasswd sovrascrive userPass[user], e le successive operazioni getVFS sulla prima sessione vengono ri-autorizzate con la password successiva. La prima sessione può quindi leggere, creare, sovrascrivere, rinominare o eliminare oggetti utilizzando l'autorità del backend della seconda credenziale. Lo sfruttamento richiede che il login successivo con lo stesso nome utente avvenga mentre la prima sessione rimane aperta. Questo problema è stato risolto nella versione 1.75.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.