CVE-2026-23988
Publiée le 2026-01-22 · Dernière modification le 2026-06-17
Les versions 4.11 et antérieures de Rufus sont affectées par une faille qui permet à un utilisateur local d'obtenir les privilèges Administrateur complets sur un système. Un attaquant disposant d'un compte utilisateur standard peut remplacer un script temporaire par son propre code malveillant juste avant que Rufus ne l'exécute. Cela nécessite que l'attaquant ait un accès local à la machine et qu'un administrateur lance Rufus au moment précis où l'attaque est déclenchée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Rufus is a utility that helps format and create bootable USB flash drives. Versions 4.11 and below contain a race condition (TOCTOU) in src/net.c during the creation, validation, and execution of the Fido PowerShell script. Since Rufus runs with elevated privileges (Administrator) but writes the script to the %TEMP% directory (writeable by standard users) without locking the file, a local attacker can replace the legitimate script with a malicious one between the file write operation and the execution step. This allows arbitrary code execution with Administrator privileges. This issue has been fixed in version 4.12_BETA.