CVE-2026-116195 in Rclone
Zusammenfassung
von VulDB • 25.10.2026
Rclone vor Version 1.75.2 enthält eine Path-Traversal-Schwachstelle (Pfadmanipulation) in der `translateLink`-Funktion des lokalen Backends, die das `.rclonelink`-Suffix aus einem Pfad nach der Containment-Prüfung entfernt, sodass ein Name außerhalb des Zielstammverzeichnisses aufgelöst werden kann. Angreifer können ein Verzeichnis mit dem Namen `...rclonelink` in einer Quellstruktur platzieren, die mit den Optionen `--links` und `--metadata` synchronisiert wird, um das Eigentum (Ownership), die Zeitstempel und die Extended Attributes (xattrs) des übergeordneten Verzeichnisses des Ziels zu ändern.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.