CVE-2026-88018 in rclone
Сводка
по VulDB • 10.09.2026
rclone — это программа для командной строки, предназначенная для синхронизации файлов и каталогов с различными поставщиками облачных хранилищ и обратно. До версии 1.75.1 конфигурация rclone serve s3 с параметром --auth-proxy, но без указания --auth-key, позволяла middleware authPairMiddleware регистрировать любой выбранный клиентом accessKeyID с пустым значением ws.s3Secret. gofakes3 затем проверяет сигнатуру SigV4 запроса против этого же пустого секрета, в то время как Server.auth передает идентификатор ключа доступа как пользователя и значение аутентификации прокси-серверу без независимого секретного значения для каждой идентичности. Таким образом, неавторизованный сетевой злоумышленник может выбрать произвольный ключ доступа, подписать запрос с использованием пустого секрета и получить доступ к любому бэкенду, который auth-proxy-скрипт разрешает для этой идентичности. Эта проблема исправлена в версии 1.75.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.