FICHE CVE

CVE-2020-35476

Publiée le 2020-12-16 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions 2.4.0 et antérieures d'OpenTSDB sont affectées par une faille d'injection de commande dans le paramètre `yrange`. Un attaquant distant non authentifié peut exploiter cette vulnérabilité en envoyant une requête réseau spécialement conçue pour exécuter des commandes arbitraires sur le serveur. Comme aucune interaction de l'utilisateur ni connexion préalable n'est requise, l'exploitation est simple pour toute personne ayant un accès réseau au service.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

Injection de commandes système · CWE-78

Publiée2020-12-16

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

A remote code execution vulnerability occurs in OpenTSDB through 2.4.0 via command injection in the yrange parameter. The yrange value is written to a gnuplot file in the /tmp directory. This file is then executed via the mygnuplot.sh shell script. (tsd/GraphHandler.java attempted to prevent command injections by blocking backticks but this is insufficient.)