FICHE CVE

CVE-2026-27208

Publiée le 2026-02-24 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs de l'outil `api-gateway-deploy` (version 1.0.0) sont exposés à une faille de sécurité critique permettant l'exécution de commandes à distance. Un attaquant ayant un accès local au système peut exécuter des commandes arbitraires avec les privilèges root à l'intérieur du conteneur, ce qui pourrait potentiellement lui permettre de s'en extraire et de modifier votre infrastructure sous-jacente. Cette attaque est facile à exécuter et ne nécessite aucune authentification préalable ni interaction de l'utilisateur.

CVSS 3.19.2 CRITIQUE

Type de faiblesse

Publiée2026-02-24

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéFaible

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

bleon-ethical/api-gateway-deploy provides API gateway deployment. Version 1.0.0 is vulnerable to an attack chain involving OS Command Injection and Privilege Escalation. This allows an attacker to execute arbitrary commands with root privileges within the container, potentially leading to a container escape and unauthorized infrastructure modifications. This is fixed in version 1.0.1 by implementing strict input sanitization and secure delimiters in entrypoint.sh, enforcing a non-root user (appuser) in the Dockerfile, and establishing mandatory security quality gates.