PT-2026-47184
CVE-2026-49980
·
تاريخ النشر
2026-06-07
·
تاريخ التحديث
2026-10-05
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات rclone من 1.46.0 إلى 1.74.2
الوصف
عند تمكين واجهة برمجة التطبيقات (API) للتحكم عن بُعد واستخدام العلامة
--rc-serve بدون مصادقة HTTP، يقبل البرنامج طلبات GET وHEAD غير المصادق عليها للمسارات المنسقة على النحو التالي: ’/[remote:path]/object‘. يتم تحليل قيمة remote من عنوان URL وتمريرها إلى عملية تهيئة الخلفية. في الإصدارات 1.55.0 وما بعدها، تسمح التهيئة عن بُعد المضمنة بتعيين خيارات الخلفية التي يمكنها تنفيذ أوامر محلية بصفتها مستخدم عملية rclone. في الإصدارات من 1.46.0 إلى 1.54.x، تسمح هذه الآلية بقراءة الملفات المحلية دون مصادقة. بالإضافة إلى ذلك، يمكن لخيارات global.* المضمنة تغيير التهيئة على مستوى العملية بأكملها، مثل global.http proxy. يمكن أن تحدث هذه المشكلة على يد مهاجمي الشبكة أو عبر طلبات الموارد الفرعية للمتصفح الموجهة إلى مستمع مخصص لـ localhost فقط.التوصيات
قم بالتحديث إلى الإصدار 1.74.3.
قم بتكوين مصادقة HTTP باستخدام
--rc-user أو --rc-pass أو --rc-htpasswd.قم بتعطيل العلامة
--rc-serve إذا لم تكن خدمة الملفات مطلوبة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾