CVE-2026-71311

Nome do Software Vulnerável e Versões Afetadas rclone versões anteriores a 1.75.0

Description Uma falha na codificação de nomes de arquivos FTP em backend/ftp/ftp.go permite a restauração de caracteres brutos de Carriage Return (CR) e Line Feed (LF). Esses caracteres podem ser inseridos imediatamente antes que um caminho controlado por um invasor seja interpolado no canal de controle FTP orientado a linhas. Como a biblioteca github.com/jlaffaye/ftp formata os argumentos através de textproto.Conn.Cmd sem rejeitar CR ou LF, um invasor pode usar um nome de arquivo especialmente criado para injetar comandos FTP autenticados independentes. Isso ocorre quando um usuário copia ou sincroniza arquivos para um destino FTP com mais privilégios.

Recommendations Atualize o rclone para a versão 1.75.0.