CVE-2026-88013 in rclone
Zusammenfassung
von VulDB • 10.09.2026
rclone è un programma a riga di comando per sincronizzare file e directory con diversi provider di storage cloud. Dalla versione 1.49.0 alla 1.75.1, il backend HTTP allega le intestazioni configurate tramite --http-headers o headers= alle richieste in backend/http/http.go, mentre il client fshttp.NewClient segue i redirect senza una policy CheckRedirect specifica per l'http.Client del backend. Un remote configurato che reindirizza verso un altro host può quindi causare la ripetizione di segreti personalizzati come X-Api-Key verso tale destinazione non attendibile, e un redirect HTTPS-to-HTTP sullo stesso host può esporre le intestazioni Authorization o Cookie in chiaro. Le operazioni di listing, stat, download, mount e serve possono innescare la fuoriuscita durante l'uso normale. Questo problema è risolto nella versione 1.75.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.