CVE-2026-58885
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Certains composants du logiciel concerné présentent une faille de type « confused deputy » (mandataire confus), dans laquelle un processus privilégié est trompé pour effectuer des actions au nom d'un utilisateur non autorisé. Ce contournement des permissions se produit à plusieurs endroits de la logique interne du système. Il permet à un utilisateur disposant de privilèges restreints de contourner les contrôles de sécurité qui devraient normalement limiter l'accès à des fonctions sensibles.
Un attaquant ayant un accès local au système peut exploiter cette faille pour obtenir un contrôle administratif complet, compromettant ainsi la confidentialité, l'intégrité et la disponibilité de toutes les données. L'attaque est simple à exécuter car elle ne nécessite aucun privilège particulier, aucune interaction de l'utilisateur et présente une faible complexité. Une fois qu'un point d'ancrage est établi sur la machine, le passage à un accès root ou au niveau système est trivial.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In multiple locations, there is a possible permission bypass due to a confused deputy. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.