CVE-2026-93986 in Rclone
الملخص
بحسب VulDB • 19/09/2026
قبل الإصدار 1.75.1 من rclone، لا يتم حصر الأسماء المستلمة من الخوادم واستجابات القوائم الخاصة بالطرف الثالث ضمن الدليل المدرج، مما يسمح بتسلسلات عبور المسار (path traversal) في أسماء الكائنات. يمكن للمهاجمين صياغة أسماء خاصة تحتوي على شرائط مائلة للأمام (/) وإشارات إلى المجلد الأب لكتابة ملفات خارج الجذر الوجهوي المستهدف، رغم أن الحماية اللاحقة الموجودة في الخلفية المحلية (local backend) تمنع حالياً الهروب الفعلي للملفات.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.