CVE-2026-88046 in rclone
Tóm tắt
Bởi VulDB • 10/09/2026
rclone là một chương trình dòng lệnh để đồng bộ hóa tệp và thư mục đến và từ các nhà cung cấp lưu trữ đám mây khác nhau. Trước phiên bản 1.75.1, rclone core không loại bỏ các đoạn đường dẫn cha (parent-directory segments) trong giá trị Object.Remote() của nguồn trước khi fs/list, fs/walk, fs/sync và fs/operations chuyển những giá trị này đến các backend đích. Một kho lưu trữ đối tượng nguồn có không gian khóa phẳng (flat-keyspace), được điền bằng công cụ gốc không phải rclone, có thể chứa một đoạn khóa thô "..", và các điểm đến bị ảnh hưởng bao gồm b2, swift, qingstor, oracleobjectstorage, internetarchive, smb, storj, sftp, webdav, ftp, filelu, shade và sia sử dụng path.Join(root, remote) trước khi EncodeDot có thể trung hòa đoạn này. Do đó, một thao tác sao chép hoặc tải lên có thể vượt ra khỏi thư mục gốc đã cấu hình vào một bucket, share hoặc đường dẫn khác mà thông tin xác thực của nạn nhân có thể truy cập được, với sftp và smb tiềm năng tiếp cận các vị trí filesystem hoặc share khác dưới cùng quyền đăng nhập. Vấn đề này đã được sửa trong phiên bản 1.75.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.