CVE-2026-88018 in rclone
Sumário
de VulDB • 10/09/2026
O rclone é um programa de linha de comando para sincronizar arquivos e diretórios com diferentes provedores de armazenamento em nuvem. Antes da versão 1.75.1, o serviço s3 do rclone configurado com --auth-proxy, mas sem --auth-key, permite que o authPairMiddleware registre qualquer accessKeyID escolhida pelo cliente com um ws.s3Secret vazio. O gofakes3 então verifica a assinatura SigV4 da solicitação contra esse mesmo segredo vazio, enquanto Server.auth passa o identificador da chave de acesso como tanto usuário quanto valor de autenticação para o proxy sem um segredo independente por identidade. Um atacante na rede não autenticado pode, portanto, escolher uma chave de acesso arbitrária, assinar com um segredo vazio e acessar qualquer backend que o script auth-proxy resolver para essa identidade. Este problema foi corrigido na versão 1.75.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.