FICHE CVE

CVE-2026-44795

Publiée le 2026-07-10 · Dernière modification le 2026-07-21

🇫🇷 EN BREF

Les installations de Spinnaker utilisant des déploiements CloudFormation ou le baking CloudFoundry sont concernées. Un attaquant disposant d'un accès avec un compte peu privilégié peut exécuter du code arbitraire sur le serveur en fournissant un fichier YAML spécialement conçu. Cette exploitation est relativement facile à réaliser via le réseau et ne nécessite aucune interaction de la part d'autres utilisateurs.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

CWE-470 Désérialisation non sûre · CWE-502

Publiée2026-07-10

Dernière modification2026-07-21

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Spinnaker is an open source, multi-cloud continuous delivery platform. Prior to 2026.1.0, 2026.0.3, 2025.4.4, and 2025.3.3, unsafe YAML processing bypasses safe deserialization when using CloudFormation deployments or CloudFoundry baking. The use of a non-safe constructor allows arbitrary loading of Java classes, leading to remote code execution. This issue is fixed in versions 2026.1.0, 2026.0.3, 2025.4.4, and 2025.3.3.