CVE-2026-116187
Beschrijving NL
Rclone van v1.68.0 vóór v1.75.2 bevat een kwetsbaarheid voor het omzeilen van autorisaties in serve s3 --auth-proxy waarmee geverifieerde huurders de meerdelige uploads van andere huurders kunnen manipuleren door te verwijzen naar hun upload-ID's. Aanvallers die de emmer, het object en de upload-ID van een slachtoffer leren kennen, kunnen onderdelen injecteren, uploads tijdens de vlucht voltooien of afbreken en upload- en objectmetagegevens tussen huurders bekijken.
Origineel (Engels) tonen
Rclone from v1.68.0 before v1.75.2 contains an authorization bypass vulnerability in serve s3 --auth-proxy that allows authenticated tenants to manipulate other tenants' multipart uploads by referencing their upload IDs. Attackers who learn a victim's bucket, object, and upload ID can inject parts, complete, or abort in-flight uploads and view upload and object metadata across tenants.