CVE-2026-35363uutils coreutils的rm工具存在安全漏洞，允许攻击者绕过保护当前目录的机制。虽然该工具正确拒绝删除 '.' 或 '..'，但无法识别带有尾部斜杠的等效路径（如 './'）。执行 'rm -rf ./' 会导致当前目录下的所有内容被静默递归删除，且该命令会报告具有误导性的“Invalid input”错误，掩盖数据丢失事实，导致用户错过数据恢复时机。
该漏洞源于uutils coreutils中rm工具的路径验证逻辑实现不当。rm工具通常包含安全检查，以防止用户意外删除当前目录（'.'）或上级目录（'..'）。然而，受影响版本的检查机制仅基于简单的字符串匹配，未能对路径进行规范化处理或处理尾部斜杠。因此，当用户执行 'rm -rf ./' 时，程序判断 './' 不等于 '.'，从而绕过了安全防护。尽管 './' 在文件系统解析时等同于当前目录，但rm工具允许了该操作，导致递归删除当前目录下所有文件。此外，程序抛出的错误信息具有误导性，增加了数据恢复的难度。