CVE-2026-55673
Publiée le 2026-08-28 · Dernière modification le 2026-08-31
Les versions du framework PowSyBl antérieures à la 7.2.2 sont vulnérables à l'injection de commandes car elles ne nettoient pas correctement les entrées transmises au shell du système. Un attaquant disposant d'un accès authentifié de bas niveau peut envoyer des paramètres spécifiquement conçus via des interfaces connectées au réseau pour exécuter des commandes shell arbitraires en tant qu'utilisateur JVM. Cette exploitation est relativement facile à réaliser car elle ne nécessite aucune interaction de l'utilisateur et peut être déclenchée à distance via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
PowSyBl (Power System Blocks) is a framework to build power system oriented software. Prior to 7.2.2, UnixLocalCommandExecutor and WindowsLocalCommandExecutor concatenate command arguments and environment variables into strings interpreted through bash -c or cmd /c without sufficient escaping. Attacker-controlled values reaching UnixLocalCommandExecutor.execute, WindowsLocalCommandExecutor.execute, LocalComputationManager.execute, ParallelLoadFlowActionSimulator.run, ActionSimulatorTool.run, AmplModelRunner.run, or AmplModelRunner.runAsync can break out of the intended command and execute arbitrary shell commands as the JVM user. The affected itools paths include action-simulator with task-count, security-analysis with external, and dynamic-security-analysis. Downstream CLI tools, libraries, REST front ends, and multi-tenant grid-analysis services that forward less-trusted contingency identifiers or computation parameters into these APIs can expose the injection remotely. This issue is fixed in version 7.2.2.