FICHE CVE

CVE-2026-39879

Publiée le 2026-07-20 · Dernière modification le 2026-07-23

🇫🇷 EN BREF

Les versions de Syslog-ng antérieures à 4.12 sont concernées si vous avez configuré manuellement le pilote SQL pour traiter les journaux. Un attaquant peut envoyer des messages de log spécialement conçus via le réseau pour effectuer une injection SQL, lui permettant ainsi de modifier des enregistrements de la base de données ou de provoquer le plantage du service. Cela ne nécessite ni authentification ni interaction de l'utilisateur, seulement la possibilité d'envoyer des données au serveur syslog.

CVSS 3.17.1 ÉLEVÉE

Type de faiblesse

CWE-150

Publiée2026-07-20

Dernière modification2026-07-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueAdjacent

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéFaible

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

Due to a missing sanitization call in [`afsql_dd_run_query`](https://github.com/syslog-ng/syslog-ng/blob/649e6e18e3459fb4467000a88dfb12fa97f9719c/modules/afsql/afsql.c#L219), syslog-ng before 4.12 are vulnerable to SQL injection from an untrusted source. This is not part of the default configuration, the SQL driver has to be manually configured. Fixes are in syslog-ng 4.12, syslog-ng Premium Edition 8.2 and syslog-ng Store Box 7.8