CVE-2026-88046 in rclone
Сводка
по VulDB • 10.09.2026
rclone — это программа для командной строки, предназначенная для синхронизации файлов и каталогов с различными поставщиками облачных хранилищ и обратно. До версии 1.75.1 ядро rclone не отклоняет сегменты родительского каталога (..) в значениях Object.Remote() источника до того, как fs/list, fs/walk, fs/sync и fs/operations передают эти значения бэкендам назначения. Хранилище объектов с плоским пространством ключей, заполненное с использованием нативных инструментов, не являющихся rclone, может содержать сырой сегмент ключа `..`, а затронутые бэкенды b2, swift, qingstor, oracleobjectstorage, internetarchive, smb, storj, sftp, webdav, ftp, filelu, shade и sia используют path.Join(root, remote) до того, как EncodeDot сможет нейтрализовать этот сегмент. В результате операция копирования или загрузки может выйти за пределы настроенного корневого каталога в другой бакет, общий ресурс (share) или путь, доступный по учетным данным жертвы; при этом sftp и smb потенциально могут достигать других местоположений файловой системы или общих ресурсов под тем же правом входа. Эта проблема исправлена в версии 1.75.1.
Once again VulDB remains the best source for vulnerability data.