CVE-2026-71309 in Rclone
要約
〜によって VulDB • 2026年08月06日
rcloneは、異なるクラウドストレージプロバイダ間でファイルおよびディレクトリを同期するためのコマンドラインプログラムです。バージョン1.40.0から1.75.0まで、`cmd/serve/restic/restic.go`の`WithRemote`関数において、`../`で始まるURLパスが正しく拒否されないという問題がありました。この関数は先頭の親ディレクトリへのパスを受け入れ、WebDAV、FTP、HTTP、Memory、SFTPを含む設定されたバックエンドに対するGET、HEAD、POST、DELETEハンドラに渡します。攻撃者がRESTエンドポイントにアクセスできる場合、オペレーターがバックエンドのサブディレクトリを公開し、かつバックエンド資格情報で親または兄弟オブジェクトへのアクセスが可能であるとき、構成済みのパス外にあるオブジェクトを読み取り、作成、上書き、削除することができます。この問題はバージョン1.75.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.