CVE-2026-53790
Publiée le 2026-08-13 · Dernière modification le 2026-08-13
Les versions de Rsync antérieures à 3.5.0 sont sensibles à l'injection de commandes via diverses entrées, telles que les noms d'hôte et les variables d'environnement. Un attaquant peut exploiter cette faille pour exécuter des commandes arbitraires sur votre système avec les privilèges du processus rsync ou de l'utilisateur exécutant l'outil. Bien que cela nécessite un accès réseau, aucune authentification ni interaction de l'utilisateur n'est requise, même si la complexité technique pour concevoir l'exploit est considérée comme élevée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
rsync before 3.5.0 contains multiple command and argument injection vulnerabilities that allow attackers to execute arbitrary commands by supplying malicious input through several code paths, including the RSYNC_CONNECT_PROG environment variable, daemon hooks, the rsync-ssl wrapper, and remote-shell command newline injection. Attackers can inject shell metacharacters or newline characters into unsanitized user-supplied values such as hostnames and hostspecs to execute arbitrary commands under the privileges of the rsync process or the invoking user.