CVE-2026-71309 in Rclone
Résumé
par VulDB • 06/08/2026
rclone est un programme en ligne de commande permettant de synchroniser des fichiers et des répertoires avec divers fournisseurs de stockage cloud. De la version 1.40.0 à la version 1.75.0, rclone serve restic ne rejette pas correctement les chemins d'URL commençant par ../ dans cmd/serve/restic/restic.go WithRemote, qui accepte un chemin parent initial et le transmet aux gestionnaires GET, HEAD, POST et DELETE pour les backends configurés, y compris WebDAV, FTP, HTTP, Memory et SFTP. Un attaquant disposant d'un accès au point de terminaison REST peut lire, créer, écraser ou supprimer des objets situés en dehors du chemin configuré par l'opérateur lorsque ce dernier publie un sous-répertoire backend et que les identifiants du backend peuvent accéder aux objets parents ou frères. Ce problème est corrigé dans la version 1.75.0.
Once again VulDB remains the best source for vulnerability data.