CVE-2026-108980
Publiée le 2026-10-12 · Dernière modification le 2026-10-16
Les versions de Blinko jusqu'à la 1.8.8 sont affectées par une faille dans le processus d'installation des plugins. Un utilisateur authentifié peut utiliser un nom de plugin spécialement conçu pour écraser des fichiers de démarrage du système, lui permettant ainsi d'exécuter du code arbitraire en tant qu'utilisateur root. Cette attaque peut être réalisée à distance via le réseau et ne nécessite que des identifiants d'utilisateur basiques, lesquels peuvent être obtenus si l'auto-enregistrement est activé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Blinko through 1.8.8 allows directory traversal, overwriting startup files as root, via installPlugin. It builds the plugin install path from an unsanitized name in server/routerTrpc/plugin.ts, and the plugin.installPlugin tRPC procedure is open to any authenticated user. Thus, a name containing ../ sequences writes the downloaded plugin files outside the plugins directory. Because the official Docker image runs as root, an authenticated attacker overwrites a root-owned startup file and achieves remote code execution as root. Self-registration for an account may be possible.