CVE-2026-88016

rclone, dosyaları ve dizinleri farklı bulut depolama sağlayıcıları ile senkronize etmek için kullanılan bir komut satırı programıdır. 1.75.1 sürümünden önce, backend/local --links parametresiyle çalıştırıldığında, bir kaynak .rclonelink nesnesi hedefte bir sembolik bağlantı (symlink) oluşturabilir ve daha sonra dizin meta verileri bu yol üzerinden uygulanır. MkdirMetadata, writeMetadataToFile ve setTimes fonksiyonları Directory.translatedLink=false olduğunda çalıştığından; os.Chown, os.Chmod, os.Chtimes ve doğum zamanı (birth-time) işlemleri os.Root kısıtlamasını atlayarak sembolik bağlantıyı takip edebilir. Bu nedenle, kaynak içerikleri kontrol eden bir saldırgan, hedef dışındaki bir dosya veya dizine seçili sahiplik, izinler, değiştirilme zamanları veya doğum zamanlarını uygulayabilir; chmod ve chown için --metadata gereklidirken, değiştirilme zamanı normal dizin iş akışı tarafından uygulanır. Bu sorun 1.75.1 sürümünde düzeltilmiştir.