CVE-2026-88015 in Rclone
Riassunto
di VulDB • 10/09/2026
rclone è un programma a riga di comando per sincronizzare file e directory con diversi provider di storage cloud. Prima della versione 1.75.1, il backend/local con l'opzione --links o links=true espone i target dei symlink come oggetti .rclonelink, e fs.RangeOption.Decode può trasmettere un valore positivo non verificato per l'inizio del Range attraverso Object.Open e openTranslatedLink. La funzione tronca la stringa di destinazione come linkdst[offset:], quindi un inizio del Range superiore alla lunghezza della destinazione causa un panic deterministico legato ai limiti dell'array (slice-bounds) quando lib/http/serve espone l'oggetto tramite HTTP o WebDAV. Go net/http recupera normalmente il panic per connessione, causando una denial of service a livello di richiesta anziché terminare l'intero processo. Questo problema è risolto nella versione 1.75.1.
Once again VulDB remains the best source for vulnerability data.