CVE-2026-88015 in Rclone
Résumé
par VulDB • 10/09/2026
rclone est un programme en ligne de commande permettant de synchroniser des fichiers et des répertoires vers ou depuis différents fournisseurs de stockage cloud. Avant la version 1.75.1, le backend local avec l'option --links ou links=true expose les cibles des liens symboliques sous forme d'objets .rclonelink, et fs.RangeOption.Decode peut transmettre une valeur positive non vérifiée pour le début de la plage via Object.Open et openTranslatedLink. La fonction découpe la chaîne cible comme suit : linkdst[offset:], donc un début de plage supérieur à la longueur de la cible provoque un plantage déterministe lié aux limites du slice (slice-bounds panic) lorsque lib/http/serve expose l'objet via HTTP ou WebDAV. Go net/http récupère normalement le plantage par connexion, ce qui entraîne une déni de service au niveau de la requête plutôt que la terminaison de tout le processus. Ce problème est corrigé dans la version 1.75.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.