远程主机上安装的 Rclone 版本为 1.73.5 之前的 1.48.x。因此，它受到一个命令注入漏洞的影响：

  - RC 端点 operations/fsinfo 在未启用 AuthRequired 的情况下被暴露，并接受由攻击者控制的 fs 输入。由于 rc.GetFs 支持内联后端定义，因此未经身份验证的攻击者可根据需要实例化由攻击者控制的后端。对于 WebDAV 后端，bearer_token_command 会在后端初始化期间执行，这可能会导致在未进行全局 HTTP 身份验证的情况下，在可访问 RC 部署上执行单一请求未经身份验证的命令。(CVE-2026-41179)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Rclone 1.48.x < 1.73.5 命令注入 (CVE-2026-41179)

critical Nessus 插件 ID 310055

版本 1.1