Iaohkut

**Nome do Software Vulnerável e Versões Afetadas** rclone versões anteriores a 1.75.1 **Description** O software falha ao confinar nomes de respostas de listagem de servidores e de terceiros ao diretório listado. Isso permite sequências de traversal de caminho em nomes de objetos, onde atacantes podem criar nomes especiais contendo barras normais e referências a diretórios pai para potencialmente escrever fora da raiz de destino. No entanto, proteções subsequentes no backend local atualmente bloqueiam a fuga real de arquivos. **Recommendations** Atualize o rclone para a versão 1.75.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** rclone versões 1.56.0 a 1.75.0 **Description** Um problema de traversal de caminho existe no plugin de volume `rclone serve docker`. A função `newVolume()` em `cmd/serve/docker/volume.go` calcula o ponto de montagem de um volume usando a variável `name` de uma requisição Docker VolumeDriver.Create sem verificar se o caminho resultante permanece dentro do diretório raiz pretendido. Subsequentemente, a função `checkMountpoint()` cria este diretório usando `file.MkdirAll` antes da montagem. Um invasor que forneça um `name` contendo sequências de traversal de caminho (ex: `../../../../../../etc`) pode forçar o processo privilegiado do rclone a criar um diretório e montar um sistema de arquivos remoto em um caminho arbitrário do host, potencialmente sobrepondo ou interrompendo diretórios do sistema. Adicionalmente, a função `Volume.restoreState()` carece de validação semelhante ao recarregar o estado do volume persistido. **Recommendations** Atualizar para a versão 1.75.1.

**Nome do Software Vulnerável e Versões Afetadas** Flysystem versões anteriores a 3.35.3 **Descrição** Na classe `WhitespacePathNormalizer` dentro de `src/WhitespacePathNormalizer.php`, a função `normalizePath()` utiliza `preg match()` com o modificador `u` para detectar caracteres de controle. Quando um caminho contém caracteres UTF-8 malformados, o `preg match()` retorna `false` em vez de `0`. Como o código utiliza uma verificação de valor verdadeiro (truthy), ele não distingue entre a ausência de correspondência e um erro do motor de execução, permitindo que caminhos com UTF-8 malformado e caracteres de controle ignorem a exceção `CorruptedPathDetected::forPath()`. Isso permite que o `Filesystem::write()` armazene arquivos com nomes maliciosos. Subsequentemente, o `Filesystem::listContents()` pode retornar sequências de escape ANSI brutas, o que pode levar a listagens de arquivos de terminal ocultas ou falsificadas quando visualizadas por um administrador. **Recomendações** Atualize o Flysystem para a versão 3.35.3 ou posterior. Como mitigação temporária, restrinja o uso da função `normalizePath()` ou valide se os caminhos de entrada contêm apenas caracteres UTF-8 válidos antes que sejam processados pela biblioteca.