CVE-2026-33533
Publiée le 2026-04-02 · Dernière modification le 2026-10-26
Les outils de surveillance Glances fonctionnant en mode serveur (via `-s` ou `--server`) sont affectés par une mauvaise configuration du partage de ressources d'origine croisée (CORS). Un attaquant peut dérober le nom d'hôte de votre système, vos adresses IP et la liste complète des processus — laquelle peut inclure des mots de passe ou des jetons sensibles — en vous incitant à visiter une page web malveillante alors que votre serveur est accessible sur le réseau. Cette attaque ne nécessite aucune authentification, mais requiert que la victime interagisse avec un site tiers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Glances is an open-source system cross-platform monitoring tool. Prior to version 4.5.3, the Glances XML-RPC server (activated with glances -s or glances --server) sends Access-Control-Allow-Origin: * on every HTTP response. Because the XML-RPC handler does not validate the Content-Type header, an attacker-controlled webpage can issue a CORS "simple request" (POST with Content-Type: text/plain) containing a valid XML-RPC payload. The browser sends the request without a preflight check, the server processes the XML body and returns the full system monitoring dataset, and the wildcard CORS header lets the attacker's JavaScript read the response. The result is complete exfiltration of hostname, OS version, IP addresses, CPU/memory/disk/network stats, and the full process list including command lines (which often contain tokens, passwords, or internal paths). This issue has been patched in version 4.5.3.