CVE-2026-59680
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 82 - wyżej niż 82% wszystkich znanych CVE
Streszczenie
Podatność na wstrzyknięcie poleceń systemu operacyjnego w yast2-users. Podczas wyświetlania zakładki "Password Settings" użytkownika, funkcja get_password_term() w src/include/users/dialogs.rb odczytuje pola shadowLastChange i shadowExpire za pomocą GetString(), która nie wykonuje walidacji numerycznej, i przekazuje wynikowy ciąg do format_days_after_epoch(). Ta funkcja interpoluje wartość do polecenia powłoki wykonywanego przez Ruby backticks bez cytowania lub escapowania. Wpływ: administrator zarządzający użytkownikami w zewnętrznym/sfederowanym katalogu LDAP przez `yast2 users` wywołuje wykonanie poleceń jako root w momencie wyświetlenia lub edycji zakładki "Password Settings" danego użytkownika. Nie jest wymagane żadne "join domain" ani konfiguracja zaufania, wystarczy przeglądanie/edycja jednego wpisu użytkownika. Problem dotyczy yast2-users do wersji 5.0.8.
Ocena ryzyka
Ryzyko dla organizacji to możliwość wykonania dowolnych poleceń jako root przez administratora podczas rutynowych operacji zarządzania użytkownikami, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację yast2-users do wersji nowszej niż 5.0.8 oraz wdrożenie walidacji numerycznej i odpowiedniego cytowania wartości w kodzie.
Inne podatności w yast2-users
Oryginalny opis (angielski, źródło NVD)
An OS command injection vulnerability was found in yast2-users. When displaying the "Password Settings" tab of a user, get_password_term() in src/include/users/dialogs.rb read the shadowLastChange and shadowExpire fields with GetString(), which performs no numeric validation, and passed the resulting string to format_days_after_epoch(). That helper interpolated the value into a shell command executed via Ruby backticks without quoting or escaping. Impact: an administrator who manages users against an external/federated LDAP directory via `yast2 users` triggers root command execution the moment they view or edit that particular user's "Password Settings" tab. No "join domain" or trust setup is required, just browsing/editing one user entry. This issue affects yast2-users through 5.0.8.