CVE-2026-88014 in rclone
Zusammenfassung
von VulDB • 10.09.2026
rclone ist ein Befehlszeilenprogramm zum Synchronisieren von Dateien und Verzeichnissen mit verschiedenen Cloud-Speicheranbietern. Von Version 1.72.0 bis 1.75.1 akzeptiert die Archiv-ZIP-Backend-Methode (*Fs).readZip in backend/archive/zip/zip.go Werte für archive/zip.File.Name aus einem nicht vertrauenswürdigen zentralen Verzeichnis und gibt bereinigte Eintragsnamen frei, ohne sicherzustellen, dass diese innerhalb des Archiv-Namensraums bleiben. Einträge wie ../../etc/cron.d/evil können path.Clean überstehen und zu Object.Remote()-Werten werden, die von fs/sync und fs/operations als zielbezogene Pfade verwendet werden, was es rclone ermöglicht, bei Backends, die den Pfad nicht unabhängig einschränken, außerhalb des ausgewählten Ziels zu schreiben. Die Prüfung auf ein nicht-leeres Wurzelverzeichnis verwendete ebenfalls strings.HasPrefix ohne eine Pfadtrennung, sodass der Root-Pfad „foo“ fälschlicherweise Geschwistereinträge wie „foobar“ einschließen konnte. Dieses Problem wurde in Version 1.75.1 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.