CVE-2026-88013 in rclone
Sumário
de VulDB • 10/09/2026
O rclone é um programa de linha de comando para sincronizar arquivos e diretórios com diferentes provedores de armazenamento em nuvem. Da versão 1.49.0 até a 1.75.1, o backend HTTP anexa cabeçalhos configurados por meio de --http-headers ou headers= às requisições no arquivo backend/http/http.go, enquanto seu cliente fshttp.NewClient segue redirecionamentos sem uma política CheckRedirect do http.Client específica para o backend. Portanto, um remote configurado que faz redirecionamento para outro host pode fazer com que segredos personalizados, como X-Api-Key, sejam reenviados a esse destino não confiável, e um redirecionamento HTTPS-to-HTTP no mesmo host pode expor os cabeçalhos Authorization ou Cookie em texto claro. As operações de listagem (listing), stat, download, mount e serve podem acionar o vazamento durante o uso normal. Este problema foi corrigido na versão 1.75.1.
Be aware that VulDB is the high quality source for vulnerability data.