Injection dans le fichier des utilisateurs via l’émission de certificats Webmin

Veille sécuritéSystèmes & serveurs

P3Élevée

Webmin jusqu’à la version 2.670 présente une injection dans le fichier des utilisateurs via `acl/cert_issue.cgi`, exploitable par un utilisateur Webmin authentifié lorsque les champs de nom distinctif du certificat ne sont pas correctement validés. La fiche NVD a été publiée pendant la période demandée; aucun correctif précis n’est confirmé par les sources consultées.

IdentifiantCVE-2026-126781

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-126781

Analyse technique

La vulnérabilité concerne le traitement des champs DN fournis à `acl/cert_issue.cgi` et peut conduire à une prise de contrôle du compte Webmin root après redémarrage de miniserv.

Impact, versions et correctif

Événement datéLa publication NVD est datée du 2026-11-11T19:17:39.177Z, soit le 2026-11-11 à 21:17:39.177 (+02:00), dans la période figée. La mise à jour NVD du 2026-11-13T02:18:52.700Z est postérieure à la borne de fin et n’est pas retenue comme événement de la période.

ImpactUn utilisateur Webmin authentifié peut potentiellement obtenir l’accès Webmin root.

Versions affectéesWebmin jusqu’à 2.670 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.7

Publication2026-11-11T19:17:39.177Z

Action recommandée

Restreindre l’accès aux fonctions d’émission de certificats aux comptes de confiance et appliquer le correctif éditeur lorsqu’une version corrigée est confirmée.

Sources

NVD — CVE-2026-126781

Priorisation DFS : P3 · 1 source(s).