Veille sécuritéBackend & données
P3Critique
Un lien symbolique `exec-output` dans une image Incus spécialement construite peut faire écrire les sorties d’exécution à un emplacement arbitraire sur l’hôte, avec un risque d’exécution de commandes. Mettre à niveau Incus vers la version 7.2.0 ou ultérieure.
Go
IdentifiantCVE-2026-48750
GravitéCritique
Exploitationnon connue / non déterminée
Correctif7.2.0
Analyse technique
Avec l’enregistrement des sorties activé, l’ouverture des fichiers `exec_UUID.stdout` et `exec_UUID.stderr` suit le lien symbolique présent dans l’image ; le fichier `.stdout` peut alors contenir un contenu contrôlé.
Impact, versions et correctif
Événement datéL’avis a été mis à jour le 2026-11-05 à 21:56:34Z, dans la période demandée ; il avait été publié antérieurement.
ImpactÉcriture de fichiers contrôlés dans un répertoire arbitraire de l’hôte, pouvant mener à l’exécution de commandes.
Versions affectées< 7.2.0
Version corrigée7.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.9
EPSS0,73% · percentile 54,4%
Publication2026-06-26T18:32:52Z
Mise à jour2026-11-05T21:56:34Z
Action recommandée
Mettre à niveau Incus vers la version 7.2.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).