FICHE CVE

CVE-2026-26017

Publiée le 2026-03-06 · Dernière modification le 2026-07-15

🇫🇷 EN BREF

Les serveurs CoreDNS antérieurs à la version 1.14.2 sont affectés par une erreur de logique permettant de contourner les contrôles d'accès DNS. Un attaquant disposant d'un accès réseau authentifié de base peut utiliser cette faille pour interroger des enregistrements DNS restreints auxquels il ne devrait pas avoir accès. Comme l'attaque ne nécessite aucune interaction de l'utilisateur et est relativement simple à exécuter, la mise à jour vers la version 1.14.2 est recommandée.

CVSS 3.17.7 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367

Publiée2026-03-06

Dernière modification2026-07-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

CoreDNS is a DNS server that chains plugins. Prior to version 1.14.2, a logical vulnerability in CoreDNS allows DNS access controls to be bypassed due to the default execution order of plugins. Security plugins such as acl are evaluated before the rewrite plugin, resulting in a Time-of-Check Time-of-Use (TOCTOU) flaw. This issue has been patched in version 1.14.2.