CVE-2026-88045
CVSS 7.5 HIGH: rclone is a command-line program to sync files and directories to and from different cloud storage providers. EPSS 0.6% (48º percentile).
Vulnerabilità · 47 giorni fa
CSIRT-ITA avvisa che per Rclone circolano PoC pubblici per cinque CVE già corrette dal vendor, compresa CVE-2026-88018, una authentication bypass da CVSS 9,8. Per chi ha ancora istanze non patchate, il servizio può smettere di essere solo uno strumento di sync e diventare un punto d’ingresso remoto verso i file esposti.
Nel caso più grave, in modalità S3 e con `--auth-proxy` senza `--auth-key`, Rclone può accettare richieste firmate in modo da far passare un attaccante come se avesse superato il controllo di autenticazione. Le altre falle ampliano il raggio d’azione verso il DoS e, su altre funzioni, verso il bypass di restrizioni di sicurezza: non solo esposizione dei dati, ma anche indisponibilità del servizio.
Per gli ambienti che usano Rclone come endpoint verso client remoti, il punto non è la presenza della patch in sé, ma se l’istanza esposta è davvero aggiornata. Finché una versione vulnerabile resta online, la porta non protegge più né la riservatezza né la continuità del servizio.
CVSS 7.5 HIGH: rclone is a command-line program to sync files and directories to and from different cloud storage providers. EPSS 0.6% (48º percentile).
CVSS 9.8 CRITICAL: rclone is a command-line program to sync files and directories to and from different cloud storage providers. EPSS 0.5% (41º percentile).
CVSS 9.1 CRITICAL: rclone is a command-line program to sync files and directories to and from different cloud storage providers. EPSS 0.5% (40º percentile).
CVSS 7.3 HIGH: rclone is a command-line program to sync files and directories to and from different cloud storage providers. EPSS 0.2% (13º percentile).
CVSS 7.1 HIGH: rclone is a command-line program to sync files and directories to and from different cloud storage providers. EPSS 0.2% (7º percentile).
1 fonte che coprono questa storia
Disponibili Proof of Concept (PoC) per le CVE-2026-88018, CVE-2026-88044, CVE-2026-88045, CVE-2026-88016 e CVE-2026-88017 - già sanate dal vendor - presenti in Rclone.
Part of the PlainSec briefing for 2026-09-14