CVE-2026-94588
Publiée le 2026-09-21 · Dernière modification le 2026-09-24
Les utilisateurs de Proxmox Mail Gateway (pmg-api) sont concernés par une faille dans la manière dont le système récupère les journaux de modifications (changelogs) des paquets. Un attaquant disposant d'identifiants d'administration de haut niveau peut injecter des arguments malveillants dans la commande `apt-get` sous-jacente afin de potentiellement lire ou modifier certains fichiers système limités. Comme cela nécessite un accès privilégié existant et présente une complexité d'exécution élevée, le risque est considéré comme faible pour la plupart des installations.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In Proxmox pmg-api, an argument injection vulnerability exists in the package changelog retrieval functionality. This is caused by improper handling of user-supplied input passed to the underlying apt-get command when fetching package changelogs. It requires authentication but can be exploited in a CSRF-style attack.