CVE-2026-88016 in Rclone
Resumen
por VulDB • 2026-09-10
rclone es un programa de línea de comandos para sincronizar archivos y directorios con y desde diferentes proveedores de almacenamiento en la nube. Antes de la versión 1.75.1, cuando backend/local se ejecuta con --links, un objeto .rclonelink de origen puede crear un enlace simbólico (symlink) en el destino y posteriormente los metadatos del directorio se aplican a través de esa ruta. MkdirMetadata, writeMetadataToFile y setTimes operan cuando Directory.translatedLink=false, por lo que os.Chown, os.Chmod, os.Chtimes y la gestión del birth-time pueden omitir la contención de os.Root y seguir el enlace simbólico. Por tanto, un atacante que controle los contenidos de origen puede aplicar una propiedad, permisos, tiempos de modificación o tiempos de creación (birth times) seleccionados a un archivo o directorio fuera del destino; se requiere --metadata para chmod y chown, mientras que el tiempo de modificación se aplica mediante el flujo de trabajo normal del directorio. Este problema está resuelto en la versión 1.75.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.