CVE-2026-93987

rclone 1.56.0 ile 1.75.0 arasındaki sürümler, `rclone serve docker` volume eklentisinde bir path traversal zafiyeti içermektedir. cmd/serve/docker/volume.go dosyasındaki newVolume() fonksiyonu, bir Docker VolumeDriver.Create isteğinin saldırgan tarafından sağlanan `name` alanından bir volume mount noktasını filepath.Join(drv.root, name) şeklinde hesaplamakta ancak sonucun drv.root (varsayılan /var/lib/docker-volumes/rclone) dizini içinde kaldığını doğrulamamaktadır; ardından checkMountpoint() fonksiyonu, mount işleminden önce bu dizini file.MkdirAll ile oluşturmaktadır. Bu nedenle, yeterli miktarda `..` bileşeni içeren bir volume adı (örneğin "../../../../../../etc"), temel dizinin dışında çözümlenerek eklenti soketine VolumeDriver.Create isteği gönderebilen herhangi bir kişinin —normalde Docker daemon veya çok kiracılı bir orkestrasyon kurulumunda adlandırılmış volumeler talep edebilen bir iş yükü— ayrıcalıklı rclone eklenti sürecinin rastgele bir ana bilgisayar yolunda bir dizin oluşturmasını ve aynı istekte belirtilen uzak bir dosya sistemini mount ederek sistem dizinlerini gölgelemesini veya bozmasını sağlamasına olanak tanır. Güvenlik bildirimi, kalıcı volume durumu yeniden yüklenirken Volume.restoreState() fonksiyonunun da aynı eksik doğrulamaya sahip olduğunu belirtmektedir. 1.75.1 sürümünde düzeltilmiştir.