‹ Volver al listado

CVE-2026-55183

Estado: AplazadaCrítica (9.6)—
Gravedad9.6Crítica · CVSS 3.1
Probabilidad de explotación0.41 %mayor que el 34 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

RClone Manager es una aplicación de interfaz gráfica multiplataforma diseñada para ayudar a los usuarios a gestionar los remotos de Rclone de forma eficiente. Antes de la versión 0.2.7, RClone Manager inicia el servicio local rclone rcd en 127.0.0.1:51900 con --rc-no-auth, --rc-allow-origin * y --rc-serve. Por tanto, una página web maliciosa abierta por un usuario mientras el demonio se está ejecutando puede enviar solicitudes de origen cruzado a la API local sin autenticación con los privilegios del sistema operativo del usuario.

Leer descripción completaMostrar menos

Las solicitudes pueden revelar las credenciales de almacenamiento configuradas y potencialmente acceder, subir, modificar o exfiltrar archivos almacenados localmente accesibles para el usuario y archivos disponibles a través de los remotos configurados; el posible impacto de ejecución de comandos indicado en el aviso sigue sin confirmarse. Este problema está corregido en la versión 0.2.7.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
9.6
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.41 %
Percentil entre todas las CVEs puntuadas
34
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

UI:R exige que el usuario abra la página maliciosa; la API rcd sin autenticación (--rc-no-auth) permite leer credenciales de almacenamiento y archivos locales.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Update SoftwareActive Directory ConfigurationUser TrainingRestrict File and Directory PermissionsPrivileged Account ManagementPassword Policies

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Rclone Manager — Rclone ManagerAI

CWE

Referencias

Mostrar las 4 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-55183",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-55183",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-13T17:13:06.546520Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 9.6,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "REQUIRED",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 6,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "Zarestia-Dev",
          "product": "rclone-manager",
          "versions": [
            {
              "status": "affected",
              "version": "< 0.2.7"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-13T17:17:41.893",
  "references": [
    {
      "url": "https://github.com/Zarestia-Dev/rclone-manager/commit/daa379498fc1aac453bcf1864d7ea072b80ffbe8",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/Zarestia-Dev/rclone-manager/releases/tag/v0.2.7",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/Zarestia-Dev/rclone-manager/security/advisories/GHSA-f3qj-7hx5-q4c8",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/Zarestia-Dev/rclone-manager/security/advisories/GHSA-f3qj-7hx5-q4c8",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-306"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "RClone Manager is a cross-platform GUI application designed to help users manage Rclone remotes efficiently. Prior to 0.2.7, RClone Manager starts the local rclone rcd service on 127.0.0.1:51900 with --rc-no-auth, --rc-allow-origin *, and --rc-serve. A malicious web page opened by a user while the daemon is running can therefore send cross-origin requests to the unauthenticated local API with the user's operating-system privileges. The requests can disclose configured storage credentials and potentially access, upload, modify, or exfiltrate locally stored files accessible to the user and files available through configured remotes; the advisory's possible command-execution impact remains unconfirmed. This issue is fixed in version 0.2.7."
    }
  ],
  "lastModified": "2026-10-16T20:04:29.760",
  "sourceIdentifier": "security-advisories@github.com"
}