Veille sécuritéBackend & données
P3Élevée
Une faille dans LXD permet à un invité d’attacher un volume personnalisé DevLXD appartenant à un autre invité et d’en lire ou modifier le contenu. Les versions affectées et le correctif sont indiqués dans l’avis GitHub ; mettre à niveau LXD vers la version corrigée.
Go
IdentifiantCVE-2026-12411
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.0.0-20260626085133-7cb96ac80a6d
Source : Avis GitHub GHSA-hhf9-qw4v-72xp
Analyse technique
L’absence de vérification de propriété lors de l’ajout d’un périphérique de stockage DevLXD permet l’accès au volume d’un autre invité du projet.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-11-05T17:40:59Z, dans la période demandée.
ImpactLecture et modification possibles des données d’un volume appartenant à un autre invité du même projet.
Versions affectées>= 0.0.0-20250721152936-fe86ceb2c3fa, < 0.0.0-20260626085133-7cb96ac80a6d
Version corrigée0.0.0-20260626085133-7cb96ac80a6d
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.4
EPSS0,29% · percentile 21,5%
Publication2026-11-05T17:40:59Z
Mise à jour2026-11-05T17:41:02Z
Action recommandée
Mettre à niveau LXD vers la version corrigée indiquée dans l’avis.
Sources
Priorisation DFS : P3 · 1 source(s).