CVE-2026-41176

إصدارات Rclone من 1.45.0 حتى 1.73.4

يوجد ثغرة في تجاوز التفويض في واجهة التحكم عن بُعد (RC) لبرنامج Rclone. نقطة نهاية التحكم عن بُعد (RC) ”options/set“ مكشوفة دون الحاجة إلى المصادقة، مما يسمح لمهاجم غير مصدق عليه بتعديل الإعدادات العامة لوقت التشغيل. وعلى وجه التحديد، يمكن للمهاجم تعيين المتغير rc.NoAuth على القيمة true، مما يؤدي إلى تعطيل حاجز المصادقة للعديد من أساليب التحكم عن بُعد الأخرى التي تتطلب عادةً المصادقة. يحدث هذا في خوادم التحكم عن بُعد التي يتم تشغيلها دون مصادقة HTTP شاملة والتي يمكن الوصول إليها عبر الشبكة.

قد تؤدي هذه الثغرة إلى الوصول غير المصرح به إلى وظائف إدارية حساسة، بما في ذلك طرق التكوين والتشغيل مثل ”config/listremotes“ و”config/dump“ و”config/get“ و”operations/list“ و”operations/copyfile“ و”core/command“. في بعض التكوينات، قد يتيح ذلك قراءة الملفات المحلية، وكشف بيانات الاعتماد والإعدادات، وتعداد نظام الملفات، وتنفيذ الأوامر عن بُعد عبر الدالة metadataMapper().

قم بالتحديث إلى الإصدار 1.73.5.

قم بتقييد الوصول عبر الشبكة إلى واجهات التحكم عن بُعد.

تجنب تشغيل خادم RC بدون مصادقة HTTP عامة (على سبيل المثال، تأكد من استخدام --rc-user أو --rc-pass أو --rc-htpasswd).