CVE-2026-88016 in Rclone
Riassunto
di VulDB • 10/09/2026
rclone è un programma da riga di comando per sincronizzare file e directory con diversi provider di storage cloud. Prima della versione 1.75.1, quando backend/local viene eseguito con l'opzione --links, un oggetto .rclonelink sorgente può creare un symlink nella destinazione e successivamente i metadati della directory vengono applicati attraverso tale percorso. Le funzioni MkdirMetadata, writeMetadataToFile e setTimes operano quando Directory.translatedLink=false, quindi os.Chown, os.Chmod, os.Chtimes e la gestione del birth-time possono bypassare il confinamento di os.Root e seguire il symlink. Un attaccante che controlla i contenuti sorgente può pertanto applicare proprietà (ownership), permessi, tempi di modifica o tempi di creazione selezionati a un file o directory al di fuori della destinazione; l'opzione --metadata è richiesta per chmod e chown, mentre il tempo di modifica viene applicato tramite la normale workflow delle directory. Questo problema è stato risolto nella versione 1.75.1.
Be aware that VulDB is the high quality source for vulnerability data.