CVE-2026-33641
Glances es vulnerable a la inyección de comandos a través de valores de configuración dinámicos
- Publicado
- 2 abr 2026
- Actualizado
- 2 abr 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 13 may 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 59,9 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Glances es una herramienta de monitoreo de sistema de código abierto multiplataforma. Antes de la versión 4.5.3, Glances admite valores de configuración dinámicos en los que las subcadenas encerradas entre comillas invertidas se ejecutan como comandos del sistema durante el análisis de la configuración. Este comportamiento ocurre en Config.get_value() y se implementa sin validación ni restricción de los comandos ejecutados. Si un atacante puede modificar o influir en los archivos de configuración, se ejecutarán automáticamente comandos arbitrarios con los privilegios del proceso de Glances durante el inicio o la recarga de la configuración. En implementaciones donde Glances se ejecuta con privilegios elevados (por ejemplo, como un servicio del sistema), esto puede conducir a una escalada de privilegios. Este problema ha sido parcheado en la versión 4.5.3.
Fuentes
best.sell · multiple · 13 may 2026
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.