FICHE CVE

CVE-2026-49483

Publiée le 2026-10-12 · Dernière modification le 2026-10-16

🇫🇷 EN BREF

Les utilisateurs de l'extension Visual Studio Code « Code for IBMi » dont la version est antérieure à la 3.0.1 sont concernés. Un attaquant disposant d'un accès à un compte local peut modifier des composants partagés pour exécuter du code arbitraire avec les privilèges d'un autre utilisateur connecté. Cela nécessite que l'attaquant possède déjà un accès au système avec des privilèges restreints et qu'une victime interagisse avec les composants modifiés.

CVSS 4.08.9 ÉLEVÉE

Type de faiblesse

Vérification d'authenticité insuffisante · CWE-345 Attribution de permission incorrecte · CWE-732

Publiée2026-10-12

Dernière modification2026-10-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Élevée

RÉFÉRENCES

Description officielle du NVD (en anglais)

Code for IBMi is a Visual Studio Code extension for maintaining and compiling ILE languages on the IBMi platform. Prior to 3.0.1, IBMi components implementing IBMiComponent were accepted after checking that a procedure existed without reliably verifying component integrity. Components installed with broad public permissions allow another local account to alter a program such as GETMBRINFO. A later connection can execute the altered program under the connecting account because the LONG_COMMENT marker alone does not establish integrity. This issue is fixed in version 3.0.1.