CVE-2026-111813

Apache Traffic Server (versions 8.0.1–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 et 10.2.0) est un proxy de mise en cache utilisé pour accélérer la diffusion de contenus web. La faille se trouve dans le plugin expérimental « magick », qui traite les images à l'aide d'ImageMagick. Dans sa configuration non signée par défaut, le plugin ne nettoie pas correctement les entrées, ce qui permet à un client d'injecter ses propres arguments dans la commande de conversion sous-jacente.

Un attaquant peut utiliser cette faille pour exécuter du code arbitraire sur le serveur, entraînant une perte totale de confidentialité, d'intégrité et de disponibilité. Comme l'exploit est déclenché via le réseau et ne nécessite ni authentification ni interaction de l'utilisateur, il est très facile à réaliser. Si le plugin expérimental est activé, l'attaquant prend essentiellement le contrôle total du système affecté.