FICHE CVE

CVE-2026-74237

Publiée le 2026-09-04 · Dernière modification le 2026-09-10

🇫🇷 EN BREF

Les systèmes GFI Exinda AI et ClearView antérieurs à la version 7.6.5 sont affectés par une faille dans l'outil client iperf. Un utilisateur authentifié disposant du niveau de privilèges le plus bas peut injecter des drapeaux de commande spécifiques pour lire n'importe quel fichier sur le serveur et envoyer son contenu vers une machine distante. Cette attaque peut être réalisée via le réseau et ne nécessite aucune interaction de la part d'autres utilisateurs.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-88

Publiée2026-09-04

Dernière modification2026-09-10

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

GFI Exinda AI and ClearView before 7.6.5 contains an argument injection vulnerability in the Tools Iperf Client functionality. The web_tools_cmd() function constructs an iperf command using the server and options parameters without sanitization, permitting injection of arbitrary iperf flags. An authenticated attacker with Unprivileged (lowest-level) access can supply the iperf -F flag to read an arbitrary file from the system and transmit its contents to an attacker-controlled server.