CVE-2026-71309
Açıklama
rclone, dosyaları ve dizinleri farklı bulut depolama sağlayıcıları ile senkronize etmek için kullanılan bir komut satırı programıdır. 1.40.0 ile 1.75.0 sürümleri arasında, rclone serve restic, cmd/serve/restic/restic.go dosyasındaki WithRemote fonksiyonunda ../ ile başlayan URL yollarını doğru şekilde reddetmemektedir; bu durum, başında üst dizin yolu bulunan isteklerin kabul edilmesine ve bunların WebDAV, FTP, HTTP, Memory ve SFTP dahil olmak üzere yapılandırılmış arka uçların GET, HEAD, POST ve DELETE işleyicilerine aktarılmasına neden olur. Operatör bir arka uç alt dizini yayınladığında ve arka uç kimlik bilgileri üst veya kardeş nesnelere erişebildiğinde, REST uç noktasına erişebilen bir saldırgan, operatör tarafından yapılandırılan yolun dışındaki nesneleri okuyabilir, oluşturabilir, üzerine yazabilir veya silebilir. Bu sorun 1.75.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/rclone/rclone1.75.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/rclone/rcloneGo | 1.40.0 ≤ v < 1.75.0, v < 1.75.0 | 1.75.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.