FICHE CVE

CVE-2026-48700

Publiée le 2026-05-22 · Dernière modification le 2026-07-23

🇫🇷 EN BREF

Les utilisateurs du gestionnaire de fichiers PCManFM-Qt (version 1.1.0 et versions ultérieures) sont concernés par une faille dans la manière dont le logiciel gère les requêtes de dossiers via D-Bus. Un utilisateur local disposant d'un accès basique peut forcer l'application à ouvrir un fichier malveillant avec un autre programme sans votre confirmation, ce qui pourrait permettre l'exécution de code arbitraire sur le système. Cette attaque nécessite un accès local à la machine, mais ne requiert aucune interaction de la part de la victime.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-913

Publiée2026-05-22

Dernière modification2026-07-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Élevée

AutomatisableNon

RécupérationIrrécupérable

Densité de valeurDiffuse

Effort de réponseModéré

Urgence du fournisseurClear

RÉFÉRENCES

Description officielle du NVD (en anglais)

An issue was discovered in all versions of PCManFM-Qt starting from 1.1.0. When a regular file's path is passed as a URI in an org.freedesktop.FileManager1.ShowFolders D-Bus method call, PCManFM-Qt delegates to a different program (based on the file type) without user confirmation. This could be used to achieve code execution or circumvent network namespace restrictions. NOTE: those outcomes are potentially unwanted by most users; however, the behavior of the product does comply with the applicable specification, and a simplistic solution (ensuring that the URI does not name a regular file) may have adverse consequences for I/O.