FICHE CVE

CVE-2026-91784

Publiée le 2026-10-02 · Dernière modification le 2026-10-02

🇫🇷 EN BREF

Les utilisateurs du moniteur système `gotop` peuvent être induits en erreur et arrêter accidentellement des processus qu'ils ne souhaitaient pas interrompre. Un attaquant local peut créer un processus avec un nom spécifique qui, lors de sa fermeture via `gotop`, injecte des commandes dans l'outil système sous-jacent afin de fermer tous les processus appartenant à un autre utilisateur. Cela nécessite que l'attaquant dispose d'un accès local à la machine et que l'utilisateur de `gotop` sélectionne et arrête manuellement le processus malveillant.

CVSS 4.04.8 MOYENNE

Type de faiblesse

CWE-88

Publiée2026-10-02

Dernière modification2026-10-02

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

cjbassi/gotop is vulnerable to local argument injection via process termination functionality. The process name is passed directly to pkill without sanitization. A local attacker can create a process with a crafted name beginning with -- (e.g. containing a target user's UID). When the user running gotop invokes the kill feature on that process, pkill interprets the crafted name as a command-line option, terminating all processes owned by the targeted user. Product is no longer actively supported and the vulnerabilities have not been fixed. Vulnerability was confirmed at version 3.0.0; other versions were not tested but may also be affected.