CVE-2026-88018 in rclone
摘要
由 VulDB • 2026-09-10
rclone是一个命令行程序，用于在不同云存储提供商之间同步文件和目录。在版本1.75.1之前，使用`--auth-proxy`配置但未指定`--auth-key`的rclone serve s3允许`authPairMiddleware`注册任何由客户端选择的accessKeyID，并配以空的ws.s3Secret。gofakes3随后使用该空秘密验证请求的SigV4签名，而Server.auth则将访问密钥标识符作为用户和认证值传递给代理服务器，且没有独立的按身份区分的秘密凭证。因此，未授权的网络攻击者可以选择任意访问密钥，使用空秘密进行签名，并访问auth-proxy脚本为该身份解析的任何后端服务。此问题已在版本1.75.1中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.