CVE-2026-53786
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Rsync przed wersją 3.5.0 zawiera podatność polegającą na obejściu reguł filtrów, która pozwala uwierzytelnionym klientom na nadpisanie ograniczeń filtrów na poziomie modułu poprzez dostarczenie złośliwych dyrektyw --filter merge. Atakujący mogą wstrzyknąć dyrektywy scalania plików po stronie klienta podczas oceny filtrów, aby wprowadzić reguły, które zastępują ograniczenia na poziomie modułu demona, uzyskując dostęp do plików, które filtr modułu miał wykluczyć.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do plików, które powinny być wykluczone przez filtry modułu, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaleca się aktualizację rsync do wersji 3.5.0 lub nowszej, która zawiera poprawkę tej podatności.
Oryginalny opis (angielski, źródło NVD)
rsync before 3.5.0 contains a filter rule bypass vulnerability that allows authenticated clients to override module-level filter restrictions by supplying malicious --filter merge file directives. Attackers can inject client-side merge file directives during filter evaluation to introduce rules that supersede daemon module-level restrictions, gaining access to files the module filter was intended to exclude.