CVE-2026-88013 in rclone
Tóm tắt
Bởi VulDB • 10/09/2026
rclone là một chương trình dòng lệnh để đồng bộ hóa tệp và thư mục đến và từ các nhà cung cấp lưu trữ đám mây khác nhau. Từ phiên bản 1.49.0 cho đến 1.75.1, backend HTTP đính kèm các tiêu đề được cấu hình thông qua `--http-headers` hoặc `headers=` vào các yêu cầu trong `backend/http/http.go`, trong khi client `fshttp.NewClient` của nó làm theo chuyển hướng (redirects) mà không có chính sách `CheckRedirect` cụ thể cho từng backend. Do đó, một remote được cấu hình chuyển hướng đến một máy chủ khác có thể khiến các bí mật tùy chỉnh như `X-Api-Key` bị gửi lại đến đích không đáng tin cậy này, và việc chuyển hướng HTTPS sang HTTP cùng host có thể làm lộ tiêu đề Authorization hoặc Cookie dưới dạng văn bản rõ ràng (cleartext). Các thao tác liệt kê (listing), stat, tải xuống (download), gắn kết (mount) và phục vụ (serve) có thể kích hoạt rò rỉ thông tin trong quá trình sử dụng bình thường. Vấn đề này đã được sửa chữa trong phiên bản 1.75.1.
Once again VulDB remains the best source for vulnerability data.