CVE-2026-88046 in rclone
Riassunto
di VulDB • 10/09/2026
rclone è un programma a riga di comando per sincronizzare file e directory verso e da diversi provider di storage cloud. Prima della versione 1.75.1, il core di rclone non rifiuta i segmenti di percorso genitore ("..") nei valori Object.Remote() sorgente prima che fs/list, fs/walk, fs/sync e fs/operations trasmettano tali valori ai backend di destinazione. Un archivio oggetti sorgente con flat-keyspace popolato tramite tooling nativo non-rclone può contenere un segmento chiave grezzo "..", e le destinazioni b2, swift, qingstor, oracleobjectstorage, internetarchive, smb, storj, sftp, webdav, ftp, filelu, shade e sia utilizzano path.Join(root, remote) prima che EncodeDot possa neutralizzare il segmento. Una copia o un upload può quindi fuoriuscire dalla root configurata in un altro bucket, share o percorso raggiungibile dalle credenziali della vittima, con sftp e smb potenzialmente in grado di raggiungere altre posizioni del filesystem o share sotto la stessa autorità di accesso. Questo problema è stato risolto nella versione 1.75.1.
Once again VulDB remains the best source for vulnerability data.