FICHE CVE

CVE-2026-34839

Publiée le 2026-04-21 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les versions de l'outil de surveillance Glances antérieures à la 4.5.4 sont affectées par une politique CORS permissive sur leur API REST. Un attaquant peut utiliser un site web malveillant pour inciter le navigateur d'un utilisateur à lire des métriques système sensibles provenant d'une instance Glances active et à renvoyer ces données à l'attaquant. Cette action peut être exécutée via le réseau sans nécessiter d'authentification ni de privilèges particuliers.

CVSS 4.07.7 ÉLEVÉE

Type de faiblesse

Publiée2026-04-21

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

Glances is an open-source system cross-platform monitoring tool. Prior to version 4.5.4, the Glances web server exposes a REST API (`/api/4/*`) that is accessible without authentication and allows cross-origin requests from any origin due to a permissive CORS policy (`Access-Control-Allow-Origin: *`). This allows a malicious website to read sensitive system information from a running Glances instance in the victim’s browser, leading to cross-origin data exfiltration. While a previous advisory exists for XML-RPC CORS issues, this report demonstrates that the REST API (`/api/4/*`) is also affected and exposes significantly more sensitive data. Version 4.5.4 patches the issue.