CVE-2026-88013

rclone müxtəlif bulud yaddaşı provayderləri ilə faylları və kataloqları sinxronizasiya etmək üçün nəzərdə tutulmuş komanda sətri proqramıdır. 1.49.0 versiyasından 1.75.1 versiyasına qədər olan dövrdə, HTTP backend-i backend/http/http.go faylında --http-headers və ya headers= vasitəsilə konfiqurasiya edilmiş başlıqları sorğulara əlavə edir, lakin onun fshttp.NewClient kliyenti backend-ə məxsus http.Client.CheckRedirect siyasəti olmadan yönləndirmələri (redirects) izləyir. Buna görə də, başqa bir hosta yönləndirmə edən konfiqurasiya olunmuş uzaq server, X-Api-Key kimi xüsusi gizli məlumatların həmin etibarsız təyinat nöqtəsinə yenidən göndərilməsinə səbəb ola bilər və eyni host daxilində HTTPS-dən HTTP-yə yönləndirmə Authorization və ya Cookie başlıqlarının açıq mətn formatında ifşa olmasına gətirib çıxara bilər. Siyahılama (listing), stat, yükləmə (download), mount və serve əməliyyatları normal istifadə zamanı bu sızıntını tetikləyə bilər. Bu problem 1.75.1 versiyasında düzəldilmişdir.