CVE-2026-94140

Nome do Software Vulnerável e Versões Afetadas Rex versões anteriores a 1.16.2

Descrição O software aceita chaves de host SSH desconhecidas durante transferências remotas de rsync porque a função sync define rigidamente a opção StrictHostKeyChecking=no. Isso ocorre em todos os ramos remotos de sync, incluindo aqueles usados para autenticação por senha, autenticação por chave privada e mecanismos de fallback. Como as opções configuradas via set openssh opt() não se aplicam a este comando específico, a verificação de chave de host não pode ser restaurada. Um invasor capaz de redirecionar a conexão antes que a chave de host legítima seja estabelecida pode apresentar uma chave maliciosa, levando à divulgação de senhas de conexão durante a autenticação por senha, ao upload não autorizado de arquivos locais ou à gravação de dados maliciosos em um destino local durante downloads.

Recomendações Atualize para a versão 1.16.2 ou posterior.