CVE-2026-88014 in rclone
요약
\~에 의해 VulDB • 2026. 09. 10.
rclone은 다양한 클라우드 스토리지 제공업체 간에 파일 및 디렉토리를 동기화하기 위한 명령줄 프로그램입니다. 버전 1.72.0부터 1.75.1까지, 아카이브 ZIP 백엔드 메서드(*Fs).readZip(backend/archive/zip/zip.go 위치)는 신뢰할 수 없는 중앙 디렉토리에서 archive/zip.File.Name 값을 받아들이며, 경로가 아카이브 네임스페이스 내에 유지되는지 확인하지 않고 정리된(entry names) 파일 이름을 노출합니다. ../../etc/cron.d/evil과 같은 항목은 path.Clean을 통과하여 Object.Remote() 값이 될 수 있으며, 이는 fs/sync 및 fs/operations에서 목적지 상대 경사로 사용되므로 rclone copy 또는 sync가 독립적으로 경로를 제한하지 않는 백엔드에서 선택된 대상 외부에 파일을 작성할 수 있게 합니다. 또한 빈 문자열이 아닌 루트 확인 시 strings.HasPrefix를 경로 구분자 없이 사용하여, 'foo'라는 루트가 형제 항목인 'foobar'까지 잘못 포함되는 문제가 있었습니다. 이 문제는 버전 1.75.1에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.