CVE-2026-88013 in rclone
要約
〜によって VulDB • 2026年09月10日
rcloneは、異なるクラウドストレージプロバイダ間でファイルおよびディレクトリを同期するためのコマンドラインプログラムです。バージョン1.49.0から1.75.1まで、HTTPバックエンドはbackend/http/http.goにおいて--http-headersまたはheaders=を通じて設定されたヘッダーをリクエストに付与しますが、そのfshttp.NewClientクライアントは、バックエンド固有のhttp.Client.CheckRedirectポリシーを持たずにリダイレクトに従います。そのため、別のホストへリダイレクトするように構成されたリモートでは、X-Api-Keyなどのカスタムシークレットが信頼できない宛先に再送信される可能性があります。また、同一ホスト内でのHTTPSからHTTPへのリダイレクトにより、AuthorizationやCookieヘッダーがクリアテキストで露出する恐れがあります。リスト表示、stat、ダウンロード、マウント、serveの各操作は、通常の使用中にこの情報漏洩を引き起こすことがあります。本問題はバージョン1.75.1で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.