🛡 xj1.fr/cve
FICHE CVE

CVE-2026-63046

Publiée le 2026-08-21 · Dernière modification le 2026-10-16

🇫🇷 EN BREF

Les versions 2.0.0 à 2.3.9 d'Apache InLong sont affectées par une faille dans le ModuleManager de l'Agent Installer. Un attaquant disposant d'identifiants d'utilisateur de bas niveau peut envoyer des requêtes réseau spécialement conçues pour exécuter des commandes shell arbitraires sur le serveur. Comme cela ne nécessite aucune interaction de l'utilisateur et présente une faible complexité, tout utilisateur authentifié ayant un accès réseau au service peut compromettre entièrement le système.

CVSS 3.18.8 ÉLEVÉE
Type de faiblesse
CWE-88
Publiée2026-08-21
Dernière modification2026-10-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Privilèges requisFaibles
Interaction utilisateurAucune
PortéeInchangée
Impact sur la confidentialitéÉlevé
Impact sur l'intégritéÉlevé
Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Improper Neutralization of Argument Delimiters in a Command ('Argument Injection') vulnerability in Apache InLong. Agent Installer's ModuleManager executes arbitrary shell commands via ExcuteLinux.exeCmd() with no filtering or whitelist validation. This issue affects Apache InLong: from 2.0.0 before 2.4.0. Users are advised to upgrade to Apache InLong's 2.4.0 or cherry-pick [1]/[2] to solve it. [1]  https://github.com/apache/inlong/pull/12151 . [2]  https://github.com/apache/inlong/pull/12155 .