FICHE CVE

CVE-2026-42601

Publiée le 2026-05-09 · Dernière modification le 2026-07-24

🇫🇷 EN BREF

Les versions 0.8.6rc0 et antérieures d'ArchiveBox sont vulnérables à l'exécution de code à distance via le point de terminaison `/add/`. Un attaquant non authentifié ayant un accès réseau au serveur peut envoyer une requête JSON spécialement conçue pour injecter des commandes arbitraires, lui permettant ainsi de prendre le contrôle total du système. Cette exploitation est facile à réaliser car elle ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-88

Publiée2026-05-09

Dernière modification2026-07-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

ArchiveBox is an open source self-hosted web archiving system. In versions 0.8.6rc0 and prior, the /add/ endpoint (AddView in core/views.py) accepts a config JSON field that gets merged into the crawl config without validation. This config is exported as environment variables when archive plugins run, allowing injection of arbitrary tool arguments to achieve RCE. At time of publication, there are no publicly available patches.