Veille sécuritéBackend & données
P3Élevée
Incus ne vérifie pas correctement les restrictions de projet lors de la copie d’une instance depuis un autre projet, ce qui peut exposer des secrets à un utilisateur non autorisé. Les versions antérieures à 7.2.0 sont indiquées comme affectées et la version 7.2.0 comme corrigée ; mettez Incus à niveau.
DebianGo
IdentifiantCVE-2026-55622
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif7.2.0
Source : GHSA-c9f5-j9c3-mhrg — Incus has a project restriction bypass in instance copy across projects
Analyse technique
Le chemin de copie charge l’instance source sans vérifier que l’appelant a le droit de la consulter. La copie doit avoir lieu sur le même serveur ; l’instance copiée peut ensuite être déplacée.
Impact, versions et correctif
Événement datéAvis GitHub mis à jour le 2026-11-05 à 21:43:49Z, dans la période demandée ; l’événement retenu est cette mise à jour d’avis.
ImpactUn utilisateur peut copier une instance d’un projet auquel il n’a pas accès et ainsi accéder à des secrets.
Versions affectéesIncus < 7.2.0
Version corrigée7.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.7
EPSS0,34% · percentile 27,7%
Publication2026-08-28T18:57:27Z
Mise à jour2026-11-05T21:43:49Z
Action recommandée
Mettre à niveau Incus vers la version 7.2.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).