CVE-2026-71312

Nome do Software Vulnerável e Versões Afetadas rclone versões anteriores a 1.75.0

Description No arquivo backend/sftp/sftp.go, o software interpola caminhos SFTP remotos em comandos de hash do PowerShell. A função quoteOrEscapeShellPath() escapa apenas apóstrofos ASCII, não considerando os caracteres Unicode U+2018, U+2019, U+201A e U+201B, que o PowerShell reconhece como delimitadores de aspas simples. Isso permite que um invasor utilize um nome de arquivo especialmente criado para encerrar o literal do caminho e executar instruções arbitrárias do PowerShell sob o contexto da conta SSH da vítima quando o hashing do lado do servidor é acionado.

Recommendations Atualize para a versão 1.75.0.