CVE-2026-33641
Glances es vulnerable a la inyección de comandos a través de valores de configuración dinámicos
- Publicado
- 2 abr 2026
- Actualizado
- 2 abr 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 13 may 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 55,0 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Glances es una herramienta de monitoreo multiplataforma de código abierto. Antes de la versión 4.5.3, Glances admite valores de configuración dinámicos en los que las subcadenas encerradas entre comillas invertidas (backticks) se ejecutan como comandos del sistema durante el análisis de la configuración. Este comportamiento ocurre en Config.get_value() y se implementa sin validación ni restricción de los comandos ejecutados. Si un atacante puede modificar o influir en los archivos de configuración, los comandos arbitrarios se ejecutarán automáticamente con los privilegios del proceso de Glances durante el inicio o la recarga de la configuración. En implementaciones donde Glances se ejecuta con privilegios elevados (por ejemplo, como un servicio del sistema), esto puede provocar una escalada de privilegios. Este problema se ha corregido en la versión 4.5.3.
Fuentes
best.sell · multiple · 13 may 2026
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.