CVE-2026-32610
Publiée le 2026-03-18 · Dernière modification le 2026-06-17
Les outils de surveillance Glances utilisant des versions antérieures à la 4.5.2 sont sensibles à une mauvaise configuration du partage de ressources cross-origin (CORS). Un attaquant peut inciter un administrateur connecté à visiter un site web malveillant, lequel peut ensuite voler des données système sensibles, des secrets de configuration et des arguments de ligne de commande via la session active du navigateur de l'utilisateur. Cette attaque ne nécessite aucun privilège ni authentification particuliers, mais repose sur l'interaction de la victime avec un lien ou une page malveillants.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Glances is an open-source system cross-platform monitoring tool. Prior to version 4.5.2, the Glances REST API web server ships with a default CORS configuration that sets `allow_origins=["*"]` combined with `allow_credentials=True`. When both of these options are enabled together, Starlette's `CORSMiddleware` reflects the requesting `Origin` header value in the `Access-Control-Allow-Origin` response header instead of returning the literal `*` wildcard. This effectively grants any website the ability to make credentialed cross-origin API requests to the Glances server, enabling cross-site data theft of system monitoring information, configuration secrets, and command line arguments from any user who has an active browser session with a Glances instance. Version 4.5.2 fixes the issue.