CVE-2026-88046 in rclone
요약
\~에 의해 VulDB • 2026. 09. 10.
rclone은 다양한 클라우드 스토리지 제공업체 간에 파일 및 디렉토리를 동기화하기 위한 명령줄 프로그램입니다. 버전 1.75.1 이전의 rclone core는 fs/list, fs/walk, fs/sync 및 fs/operations가 해당 값을 대상 백엔드에 전달하기 전에 소스 Object.Remote() 값 내의 상위 디렉토리 세그먼트를 거부하지 않습니다. 네이티브 비-rclone 도구로 채워진 평평한 키 공간(flat-keyspace) 소스 객체 저장소에는 원시 `..` 키 세그먼트가 포함될 수 있으며, 영향을 받는 b2, swift, qingstor, oracleobjectstorage, internetarchive, smb, storj, sftp, webdav, ftp, filelu, shade 및 sia 대상은 EncodeDot이 해당 세그먼트를 무력화하기 전에 path.Join(root, remote)을 사용합니다. 따라서 복사 또는 업로드 작업이 구성된 루트 밖으로 탈출하여 피해자 자격 증명으로 접근 가능한 다른 버킷, 공유 또는 경로로 이동할 수 있으며, sftp와 smb의 경우 동일한 로그인 권한 하에 있는 기타 파일 시스템이나 공유 위치에도 도달할 가능성이 있습니다. 이 문제는 버전 1.75.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.