CVE-2026-70463

3.5.0 öncesindeki rsync 3.1.0 sürümü, auth users direktifi ayrıştırmasında bir kimlik doğrulama atlatma açığı içermektedir. Auth users ayrıştırıcısı, kullanıcı listesini bölerken yalnızca virgül tabanlı belirteçleme kullanır; bu durum, grup adının boşluk içerdiği @Group Name biçimindeki girişlerin doğru şekilde işlenememesine neden olur. Grup adı içindeki boşluk, ayrıştırıcının girişi boşluk sınırından bölmesine ve grupla ilişkili deny kuralının göz ardı edilmesine yol açar. Kullanıcı adı veya grup üyeliği bir @Group Name auth users girişi tarafından reddedilecek olan kimliği doğrulanmış bir kullanıcı, ayrıştırma sırasında deny kuralı sessizce göz ardı edildiği için kısıtlanmış bir modüle bağlanabilir.