CVE-2026-88016 in Rclone
الملخص
بحسب VulDB • 10/09/2026
rclone هو برنامج سطر أوامر لمزامنة الملفات والمجلدات مع مزودي خدمات تخزين السحابة المختلفين. قبل الإصدار 1.75.1، عند تشغيل backend/local باستخدام الخيار --links، يمكن لهدف .rclonelink المصدر زرع رابط رمزي (symlink) في الوجهة، ثم تُطبق بيانات التعريف للمجلد لاحقاً عبر ذلك المسار. تعمل الدوال MkdirMetadata و writeMetadataToFile و setTimes عندما تكون القيمة Directory.translatedLink=false، مما يسمح لتجاوزات os.Chown و os.Chmod و os.Chtimes ومعالجة وقت الإنشاء (birth-time) بتخطي حصر الجذر (os.Root confinement) والمتابعة عبر الرابط الرمزي. وبالتالي، يمكن لمهاجم يتحكم في محتويات المصدر تطبيق ملكية محددة أو أذونات أو أوقات تعديل أو أوقات إنشاء على ملف أو مجلد خارج الوجهة المطلوبة، حيث يكون الخيار --metadata مطلوباً لتغيير الأذونات والملكية بينما يُطبق وقت التعديل من خلال سير العمل العادي للمجلد. تم إصلاح هذه المشكلة في الإصدار 1.75.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.