CVE-2026-33641
Glances vulnérable à l'injection de commande via les valeurs de configuration dynamiques
- Publié
- 2 avr. 2026
- Mise à jour
- 2 avr. 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 13 mai 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 55,0 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Glances est un outil de surveillance système open source multiplateforme. Avant la version 4.5.3, Glances prend en charge des valeurs de configuration dynamiques dans lesquelles les sous-chaînes entre backticks sont exécutées comme commandes système lors de l'analyse de la configuration. Ce comportement se produit dans `Config.get_value()` et est implémenté sans validation ni restriction des commandes exécutées. Si un attaquant peut modifier ou influencer les fichiers de configuration, des commandes arbitraires s'exécuteront automatiquement avec les privilèges du processus Glances au démarrage ou lors du rechargement de la configuration. Dans les déploiements où Glances s'exécute avec des privilèges élevés (par exemple, en tant que service système), cela peut conduire à une élévation de privilèges. Ce problème a été corrigé dans la version 4.5.3.
Sources
best.sell · multiple · 13 mai 2026
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.