FICHE CVE

CVE-2026-2638

Publiée le 2026-06-09 · Dernière modification le 2026-07-23

🇫🇷 EN BREF

X-VPN pour macOS (versions 77.0 à 77.5) est affecté par une faille dans la manière dont l'application gère les fichiers en quarantaine. Un attaquant disposant déjà d'un accès utilisateur local peut utiliser une condition de concurrence (race condition) et des liens symboliques pour corrompre des fichiers système avec des privilèges root. Cette attaque est relativement simple à exécuter, mais nécessite que l'attaquant ait déjà un point d'entrée sur votre machine.

CVSS 4.07.3 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367

Publiée2026-06-09

Dernière modification2026-07-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

A vulnerability in the quarantine and restore workflow of the X-VPN macOS website versions 77.0 through 77.5 allow a local attacker to leverage a race condition and symlink manipulation to achieve privileged file corruption.