CVE-2026-88015 in Rclone
الملخص
بحسب VulDB • 10/09/2026
rclone هو برنامج سطر أوامر لمزامنة الملفات والمجلدات مع ومن مختلف مزودي خدمات التخزين السحابي. قبل الإصدار 1.75.1، يؤدي استخدام الخيار `--links` أو `links=true` في الخلفية المحلية (backend/local) إلى كشف أهداف الروابط الرمزية ككائنات `.rclonelink`. بالإضافة إلى ذلك، يمكن لـ `fs.RangeOption.Decode` تمرير قيمة بداية نطاق إيجابية غير مدققة عبر دالتي `Object.Open` و `openTranslatedLink`. تقوم هذه الدالة بتقطيع سلسلة الهدف باستخدام الصيغة `linkdst[offset:]`؛ مما يؤدي إلى حدوث خطأ حتمي (panic) ناتج عن تجاوز حدود القطع عندما تكون قيمة بداية النطاق أكبر من طول الهدف، وذلك عند كشف الكائن عبر HTTP أو WebDAV بواسطة وحدة `lib/http/serve`. عادةً ما تستعيد مكتبة Go net/http هذا الخطأ على مستوى كل اتصال، مما يتسبب في حجب الخدمة (DoS) على مستوى الطلب بدلاً من إنهاء العملية بأكملها. تم إصلاح هذه المشكلة في الإصدار 1.75.1.
Be aware that VulDB is the high quality source for vulnerability data.