CVE-2026-88046 in rclone
Sumário
de VulDB • 10/09/2026
O rclone é um programa de linha de comando para sincronizar arquivos e diretórios com diferentes provedores de armazenamento em nuvem. Antes da versão 1.75.1, o núcleo do rclone não rejeita segmentos de caminho pai (parent-directory segments) nos valores Object.Remote() da origem antes que fs/list, fs/walk, fs/sync e fs/operations passem esses valores para os backends de destino. Um armazenamento de objetos fonte com um espaço-chave plano (flat-keyspace), populado por ferramentas nativas não relacionadas ao rclone, pode conter um segmento de chave cru "..", e destinos afetados como b2, swift, qingstor, oracleobjectstorage, internetarchive, smb, storj, sftp, webdav, ftp, filelu, shade e sia utilizam path.Join(root, remote) antes que EncodeDot possa neutralizar o segmento. Uma cópia ou upload pode, portanto, escapar da raiz configurada para outro bucket, partilha (share) ou caminho acessível pelas credenciais da vítima, com sftp e smb potencialmente alcançando outras localizações de sistema de arquivos ou partilhas sob a mesma autoridade de login. Este problema foi corrigido na versão 1.75.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.