远程主机上安装的 Rclone 版本为 1.74.3 之前的 1.46.x。因此，它受到未经身份验证的命令执行漏洞影响：

  - rclone rcd --rc-serve 接受针对格式为 /[remote：path]/object 的路径发起的未经身份验证的 GET 和 HEAD 请求。从 URL 解析远程值并将其传递到正常后端初始化。内联远程配置可设置在初始化期间执行本地命令的后端选项。因此，单个未经身份验证的 GET 或 HEAD 请求可以 rclone 进程用户的身份执行命令。（CVE-2026-49980）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Rclone 1.46.x < 1.74.3 未经身份验证的命令执行

critical Nessus 插件 ID 321508

版本 1.3