CVE-2026-49980
Açıklama
Rclone, dosyaları ve dizinleri farklı bulut depolama sağlayıcıları ile senkronize etmek için kullanılan bir komut satırı programıdır. 1.46.0 ile 1.74.3 sürümleri arasında, rclone rcd --rc-serve; /[remote:path]/object biçimindeki yollara yönelik kimlik doğrulaması yapılmamış GET ve HEAD isteklerini kabul etmektedir. Remote değeri URL'den ayrıştırılır ve normal backend başlatma işlemine aktarılır. Satır içi remote yapılandırması, başlatma sırasında yerel komutlar çalıştıran backend seçenekleri belirleyebilir. Sonuç olarak, tek bir kimlik doğrulaması yapılmamış GET veya HEAD isteği, rclone işlemi kullanıcısı olarak bir komut çalıştırabilir. Bu güvenlik açığı 1.74.3 sürümünde giderilmiştir.
Nasıl düzeltilir
- rclone rclone1.74.3 ya da sonraki bir sürüm
- github.com/rclone/rclone1.74.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rclone rclone | 1.46 ≤ v < 1.74.3 | 1.74.3 |
| github.com/rclone/rcloneGo | 1.46.0 ≤ v < 1.74.3, 1.49.0 ≤ v < 1.74.3 | 1.74.3 |
| github.com/ncw/rcloneGo | 1.46.0 ≤ v | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.