FICHE CVE

CVE-2026-21915

Publiée le 2026-04-09 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les versions de Juniper Networks Support Insights Virtual Lightweight Collectors (vLWC) antérieures à la version 3.0.94 sont vulnérables à une faille d'injection de commandes dans le menu CLI. Un attaquant disposant déjà d'un accès local privilégié au système peut utiliser cette vulnérabilité pour exécuter des commandes shell arbitraires en tant qu'utilisateur root, prenant ainsi le contrôle total de l'appareil. Comme cela nécessite des identifiants de haut niveau et un accès local, l'attaque ne peut pas être déclenchée à distance ni par un utilisateur non authentifié.

CVSS 4.08.4 ÉLEVÉE

Type de faiblesse

CWE-183 Injection de commandes système · CWE-78

Publiée2026-04-09

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RécupérationUtilisateur

Effort de réponseModéré

RÉFÉRENCES

sirt@juniper.net

Description officielle du NVD (en anglais)

A Permissive List of Allowed Input vulnerability in the CLI of Juniper Networks Support Insights (JSI) Virtual Lightweight Collector (vLWC) allows a local, high privileged attacker to escalate their privileges to root. The CLI menu accepts input without carefully validating it, which allows for shell command injection. These shell commands are executed with root permissions and can be used to gain complete control of the system. This issue affects all JSI vLWC versions before 3.0.94.