CVE-2026-88016

rclone müxtəlif bulud yaddaşı provayderləri ilə faylları və kataloqları sinxronizasiya etmək üçün nəzərdə tutulmuş komanda sətri proqramıdır. 1.75.1 versiyasından əvvəl, backend/local --links parametri ilə işlədikdə, mənbədəki .rclonelink obyekti təyinat yerində simvolik link (symlink) yarada bilər və daha sonra kataloq metadata-sı həmin yol vasitəsilə tətbiq edilir. MkdirMetadata, writeMetadataToFile və setTimes funksiyaları Directory.translatedLink=false olduqda işləyir, buna görə də os.Chown, os.Chmod, os.Chtimes və birth-time idarəetməsi os.Root məhdudiyyətini yan keçib simvolik linki izləyə bilər. Mənbə məzmununu idarə edən hücumçu beləliklə, təyinat yerindən kənarda olan fayl və ya kataloqa seçilmiş mülkiyyət, icazələr, modifikasiya vaxtı və ya birth-time tətbiq edə bilər; burada chmod və chown üçün --metadata parametrləri tələb olunur, modifikasiya vaxtı isə normal kataloq iş axını tərəfindən tətbiq edilir. Bu problem 1.75.1 versiyasında düzəldilib.