Veille sécuritéBackend & données
P3Critique
Une validation incomplète du paramètre d’algorithme de compression d’une sauvegarde permet à un utilisateur autorisé d’injecter des arguments et d’écrire un fichier arbitraire sur l’hôte, avec une possible exécution de commandes. La version corrigée indiquée est 0.0.0-20260630083100-c5184be310b1 ; mettre à niveau LXD au minimum vers cette version.
Go
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
Correctif0.0.0-20260630083100-c5184be310b1
Analyse technique
Le champ compression_algorithm accepte des arguments supplémentaires après un nom de compresseur autorisé ; ceux-ci sont transmis au processus exécuté par le service.
Impact, versions et correctif
Événement datéAvis publié le 2026-11-06T19:36:37Z, dans la période demandée.
ImpactÉcriture arbitraire de fichiers sur l’hôte, pouvant conduire à l’exécution de commandes.
Versions affectées< 0.0.0-20260630083100-c5184be310b1
Version corrigée0.0.0-20260630083100-c5184be310b1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.9
Publication2026-11-06T19:36:37Z
Mise à jour2026-11-06T19:36:38Z
Action recommandée
Mettre à niveau LXD vers la version corrigée indiquée dans l’avis.
Sources
Priorisation DFS : P3 · 1 source(s).