CVE-2026-46608
Publiée le 2026-06-25 · Dernière modification le 2026-10-25
Les installations de surveillance système Glances exécutant le serveur XML-RPC sont affectées si l'administrateur a configuré plus d'une origine CORS autorisée. Un attaquant peut inciter un utilisateur connecté à visiter un site web malveillant, lequel pourra alors lire silencieusement l'intégralité des données de surveillance du système via le navigateur de l'utilisateur. Cela nécessite un accès réseau au serveur et une interaction utilisateur basique, mais aucune authentification.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Glances is an open-source system cross-platform monitoring tool. Prior to 4.5.5, the Glances XML-RPC server (glances -s) introduced a configurable CORS origin list in version 4.5.3 as a mitigation for CVE-2026-33533. However, the implementation silently falls back to Access-Control-Allow-Origin: * whenever cors_origins contains more than one entry. An operator who configures an explicit two-entry allowlist (e.g. two internal dashboard origins) intending to restrict browser access instead receives the unrestricted wildcard. A malicious web page served from any origin can issue a CORS simple request to /RPC2 and read the full system monitoring dataset without the victim's knowledge. This vulnerability is fixed in 4.5.5.