CVE-2026-59000
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Le logiciel concerné permet à un utilisateur local de contourner les vérifications d'autorisation via une faille de type « confused deputy » (mandataire confus). Cela se produit lorsqu'un processus privilégié est trompé pour effectuer une action au nom d'un utilisateur moins privilégié sans vérifier correctement la demande. Cette faille est présente à plusieurs endroits dans le code source.
Un attaquant ayant un accès local au système peut utiliser cette vulnérabilité pour augmenter ses privilèges vers un niveau supérieur, tel que root. Cela lui donne le contrôle total de la machine, lui permettant de lire des données sensibles, de modifier des fichiers système ou de faire planter le serveur. L'attaque est facile à exécuter, ne nécessite aucune authentification préalable et ne requiert aucune interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In multiple locations, there is a possible permission bypass due to a confused deputy. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.