CVE-2026-88013 in rclone
الملخص
بحسب VulDB • 10/09/2026
rclone هو برنامج سطر أوامر لمزامنة الملفات والمجلدات مع مزودي تخزين السحابة المختلفين ومنهم. من الإصدار 1.49.0 حتى 1.75.1، يقوم الخادم الخلفي (HTTP backend) بإرفاق الرؤوس التي تم تكوينها عبر --http-headers أو headers= بالطلبات في backend/http/http.go، بينما يتبع عميل fshttp.NewClient عمليات إعادة التوجيه دون وجود سياسة http.Client.CheckRedirect خاصة بالخادم الخلفي. لذلك، يمكن أن يؤدي خادم بعيد مُعد لإعادة التوجيه إلى مضيف آخر إلى إعادة إرسال أسرار مخصصة مثل X-Api-Key إلى ذلك الوجهة غير الموثوقة، ويمكن أن تؤدي عملية إعادة توجيه HTTPS-to-HTTP على نفس المضيف إلى كشف رؤوس Authorization أو Cookie في نص واضح (cleartext). يمكن لعمليات الاستعراض (Listing)، والإحصاء (stat)، والتنزيل (download)، والتثبيت (mount)، والخدمة (serve) أن تسبب التسرب أثناء الاستخدام العادي. تم إصلاح هذه المشكلة في الإصدار 1.75.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.