CVE-2026-116191: Path traversal in Rclone serve webdav

Rclone è uno strumento ampiamente impiegato da amministratori di sistema e team IT per la sincronizzazione e il backup di dati verso servizi cloud e file server. La vulnerabilità CVE-2026-116191 affetta il modulo serve webdav di Rclone versioni antecedenti alla 1.75.2 e risiede nella validazione insufficiente dei componenti di percorso. Un attaccante non autenticato può inviare richieste webdav contenenti sequenze '..' per scrivere al di sopra della directory root servita, compromettendo l'isolamento dei dati di altri tenant in ambienti multi-tenant.

La vulnerabilità ha un punteggio CVSS di 7,5 (High) ed è stata pubblicata dalla NVD il 25 ottobre 2026. Lo stato è confermato: la descrizione tecnica della NVD fornisce dettagli specifici sul meccanismo d'attacco (MKCOL, PUT, MOVE, COPY) e sulle versioni interessate. Un ulteriore segnale della consapevolezza della comunità proviene da repository GitHub pubblici che mettono a disposizione detector per identificare versioni di Rclone esposte a questa falla.

Le azioni prioritarie per i defender sono due: innanzitutto, inventariare tutti i sistemi che utilizzano Rclone in serve webdav e verificarne la versione; le istanze ante-1.75.2 devono essere aggiornate senza indugio. In secondo luogo, per gli ambienti già esposti, è opportuno auditare il file system servito per identificare file creati, modificati o cancellati non autorizzatamente, in particolare in contesti multi-tenant dove l'isolamento dati è critico. Sospendere il servizio webdav fino all'applicazione della patch è consigliato se il rischio residuo non è tollerabile.