CVE-2026-116190
Beschrijving NL
rclone van v1.56.0 vóór v1.75.2 bevat een kwetsbaarheid voor het vrijgeven van informatie in de WebDAV-backend die door de operator geconfigureerde aangepaste inlogkoppen doorstuurt naar verschillende hosts op HTTP 3xx-omleidingen. Aanvallers die een doorverwijzing voor meerdere hosts beheren of beïnvloeden, kunnen headers zoals X-Auth-Token-sets vastleggen via --webdav-headers en deze opnieuw afspelen tegen de oorspronkelijke WebDAV-service.
Origineel (Engels) tonen
rclone from v1.56.0 before v1.75.2 contains an information disclosure vulnerability in the WebDAV backend that forwards operator-configured custom credential headers to different hosts on HTTP 3xx redirects. Attackers who control or influence a cross-host redirect can capture headers such as X-Auth-Token set via --webdav-headers and replay them against the original WebDAV service.