FICHE CVE

CVE-2026-90894

Publiée le 2026-09-14 · Dernière modification le 2026-09-15

🇫🇷 EN BREF

Parallels Desktop sur macOS est affecté par une faille où un service d'arrière-plan s'exécutant en tant que root ne nettoie pas correctement les noms de dossiers. Un utilisateur local disposant d'un compte standard peut exploiter cela en fournissant un nom de dossier spécialement conçu pour déclencher l'exécution de commandes arbitraires. Comme l'attaque ne nécessite qu'un accès local et aucune interaction de l'utilisateur, il est relativement facile pour un acteur malveillant déjà présent sur le système d'obtenir des privilèges administratifs complets (root).

CVSS 3.17.8 ÉLEVÉE

Type de faiblesse

Injection de commandes système · CWE-78 CWE-88 Gestion des privilèges incorrecte · CWE-269

Publiée2026-09-14

Dernière modification2026-09-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Parallels Desktop runs prl_disp_service as root. Local clients reach it on the world-writable socket /var/run/prl_disp_service.socket. PrlSrv_LoginLocal accepts peer credentials. No Parallels signature. No admin group. After login, PrlSrv_InstallAppliance lets you pick the appliance folder (sVmParentPath). The daemon unpacks with one string, tar -xf "%1" -C "%2", then Qt QProcess::splitCommand chops that string into words. A quote in the folder name closes early. The leftover text becomes extra tar flags. macOS tar --use-compress-program= runs the named program as root.