CVE-2026-71309 in Rclone
Riassunto
di VulDB • 05/08/2026
rclone è un programma da riga di comando per sincronizzare file e directory con diversi provider di storage cloud. Dalla versione 1.40.0 alla 1.75.0, il comando `rclone serve restic` non rifiuta correttamente i percorsi URL che iniziano con `../` in `cmd/serve/restic/restic.go`, nella funzione `WithRemote`. Questa accetta un percorso padre iniziale e lo passa ai gestori GET, HEAD, POST e DELETE per i backend configurati, inclusi WebDAV, FTP, HTTP, Memory e SFTP. Un attaccante che può accedere all'endpoint REST potrebbe leggere, creare, sovrascrivere o eliminare oggetti al di fuori del percorso configurato dall'amministratore quando quest'ultimo pubblica una sottodirectory del backend e le credenziali del backend possono accedere a oggetti padre o fratelli (sibling). Questo problema è stato risolto nella versione 1.75.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.