CVE-2026-88017 in Rclone
Sumário
de VulDB • 10/09/2026
O rclone é um programa de linha de comando para sincronizar arquivos e diretórios com diferentes provedores de armazenamento em nuvem. Da versão 1.64.0 até a 1.75.1, o driver auth-proxy do FTP em cmd/serve/ftp/ftp.go armazena uma única senha ofuscada por nome de usuário no mapa global userPass map[string]string do servidor, em vez de vincular as credenciais ou o VFS à sessão autenticada. Se duas credenciais aceitas usarem o mesmo nome de usuário, mas resolverem para backends proxy diferentes, um login CheckPasswd posterior sobrescreverá userPass[user], e operações subsequentes getVFS na primeira sessão serão reautenticadas com a senha mais recente. A primeira sessão pode então ler, criar, substituir, renomear ou excluir objetos usando a autoridade do backend da segunda credencial. A exploração requer que o login posterior com o mesmo nome de usuário ocorra enquanto a primeira sessão permanecer aberta. Este problema foi corrigido na versão 1.75.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.