CVE-2026-88046
Açıklama
rclone, dosyaları ve dizinleri farklı bulut depolama sağlayıcıları ile senkronize etmek için kullanılan bir komut satırı programıdır. 1.75.1 sürümünden önce, rclone çekirdeği; fs/list, fs/walk, fs/sync ve fs/operations bu değerleri hedef arka uçlara aktarmadan önce kaynak Object.Remote() değerlerindeki üst dizin bölümlerini reddetmemektedir. Yerel rclone dışı araçlarla doldurulmuş düz anahtar alanlı (flat-keyspace) bir kaynak nesne deposu ham bir .. anahtar bölümü içerebilir ve etkilenen b2, swift, qingstor, oracleobjectstorage, internetarchive, smb, storj, sftp, webdav, ftp, filelu, shade ve sia hedefleri, EncodeDot bölümü etkisiz hale getirmeden önce path.Join(root, remote) kullanmaktadır. Bu nedenle, bir kopyalama veya yükleme işlemi yapılandırılmış kök dizinden çıkarak mağdur kimlik bilgileriyle erişilebilen başka bir kovaya (bucket), paylaşıma veya yola ulaşabilir; sftp ve smb ise aynı oturum açma yetkisi altındaki diğer dosya sistemi veya paylaşım konumlarına potansiyel olarak erişebilir. Bu sorun 1.75.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/rclone/rclone1.75.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/rclone/rcloneGo | v < 1.75.1 | 1.75.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.