FICHE CVE

CVE-2026-46485

Publiée le 2026-07-15 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les tableaux de bord Dashy utilisant l'authentification OIDC sont concernés. Un attaquant non authentifié peut modifier à distance le fichier principal `config.yaml`, ce qui lui permet de modifier la mise en page de votre tableau de bord ou d'interrompre le service. Cette faille est facile à exploiter car elle ne nécessite aucun privilège particulier, aucune interaction de l'utilisateur, ni aucun accès local.

CVSS 3.18.2 ÉLEVÉE

Type de faiblesse

Publiée2026-07-15

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

Dashy is a self-hostable personal dashboard. Prior to 4.0.8, Dashy deployments using OIDC can allow unauthenticated users or non-admin authenticated users to write changes to the main config.yaml through the config-saving functionality despite configured permissions, allowing unauthorized modification of dashboard configuration and potential service disruption. This issue is fixed in version 4.0.8.