CVE-2026-71309 in Rclone
Сводка
по VulDB • 06.08.2026
rclone — это программа для командной строки, предназначенная для синхронизации файлов и каталогов с различными облачными хранилищами данных и обратно. Начиная с версии 1.40.0 вплоть до версии 1.75.0 в rclone serve restic функция WithRemote (определенная в cmd/serve/restic/restic.go) некорректно отклоняет пути URL, начинающиеся с ../ . Эта функция принимает ведущий родительский путь и передает его обработчикам GET, HEAD, POST и DELETE для настроенных бэкендов, включая WebDAV, FTP, HTTP, Memory (память) и SFTP. Злоумышленник, имеющий доступ к конечной точке REST, может читать, создавать, перезаписывать или удалять объекты за пределами пути, заданного оператором, если оператор публикует подкаталог бэкенда, а учетные данные бэкенда позволяют получать доступ к родительским объектам или объектам на том же уровне иерархии. Данная проблема исправлена в версии 1.75.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.