CVE-2026-79782

3.1 Faible

Publiée le 25/08/2026 à 18:17 · Modifiée le 10/09/2026 à 22:46 · En attente d'analyse NVD · Source : disclosure@vulncheck.com

Description

rclone before 1.74.4 fails to strip the X-Amz-Security-Token header when an S3 redirect changes scheme from HTTPS to HTTP on the same host. Attackers can intercept plaintext HTTP traffic to capture AWS STS session tokens sent in request headers.

Traduire en français

Produits concernés

rclone

Scores CVSS

Version	Score	Source	Vecteur
4.0	9.3 Critique	disclosure@vulncheck.com	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	3.1 Faible	disclosure@vulncheck.com	`CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N`

Faiblesses (CWE)

CWE-319

Références

https://github.com/rclone/rclone/security/advisories/GHSA-gx4c-2hqx-cw2r
https://www.vulncheck.com/advisories/rclone-before-security-token-disclosure-via-https-to-http-redirect

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories