CVE-2026-88014 in rclone
Сводка
по VulDB • 10.09.2026
rclone — это программа для командной строки, предназначенная для синхронизации файлов и каталогов с различными поставщиками облачных хранилищ и обратно. В версиях от 1.72.0 до 1.75.1 метод бэкенда архива ZIP (*Fs).readZip в файле backend/archive/zip/zip.go принимает значения archive/zip.File.Name из недоверенного центрального каталога (central directory) и возвращает очищенные имена записей, не гарантируя их нахождение внутри пространства имен архива. Такие записи, как ../../etc/cron.d/evil, могут пройти через path.Clean и стать значениями Object.Remote(), которые fs/sync и fs/operations используют в качестве путей относительно места назначения (destination-relative paths), что позволяет rclone copy или sync записывать данные вне выбранного места назначения на бэкендах, которые не обеспечивают независимое ограничение пути. Проверка непустого корня также использовала strings.HasPrefix без проверки границ пути, поэтому root foo мог ошибочно включать в себя соседние записи foobar. Эта проблема исправлена в версии 1.75.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.