遠端主機上安裝的 Rclone 版本 1.46.x 早於 1.74.3。因此，它會受到一個未經驗證的命令執行弱點影響：

  - 對於採用 /[remote:path]/object 格式的路徑，rclone rcd --rc-serve 接受未經驗證的 GET 及 HEAD 要求。遠端值可透過 URL 進行剖析，並傳遞至一般後端初始化。內嵌遠端設定可以設定後端選項，用於在初始化期間執行本機命令。因此，未經驗證的單一 GET 或 HEAD 要求可以 rclone 處理程序使用者身分執行命令。(CVE-2026-49980)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Rclone 1.46.x < 1.74.3 未經驗證的遠端命令執行

critical Nessus Plugin ID 321508

版本 1.3