CVE-2026-71284

WysokieCVSS 7.2

Opublikowano: 05/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 10/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.46%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

Procedura obsługi przesyłania kopii zapasowych w Fledge, upload_backup (python/fledge/services/core/api/backup_restore.py), pobiera pierwszą nazwę pliku z wyodrębnionego archiwum tar (tar_file_names[0]) i buduje polecenie powłoki przez formatowanie stringa. Ponieważ os.system wywołuje powłokę i nie stosuje się cytowania (shlex.quote, list-form subprocess), administrator przesyłający spreparowane archiwum kopii zapasowej może uzyskać dowolne wykonanie poleceń systemu operacyjnego.

Ocena ryzyka

Ryzyko wykonania dowolnych poleceń systemowych przez administratora, co może prowadzić do pełnego przejęcia systemu.

Rekomendacja

Zastosuj poprawkę lub zaktualizuj Fledge, aby używać bezpiecznego wywoływania poleceń z odpowiednim cytowaniem.

Inne podatności w Fledge

CVE-2026-71283Średnie
Procedura obsługi przesyłania kopii zapasowych w Fledge (upload_backup) wywołuje tarfile.extractall(temp_path) na przesłanym przez administratora archiwum tar bez argumentu filtra i bez walidacji ścieżek poszczególnych elementów. Wymaga roli administratora.

Oryginalny opis (angielski, źródło NVD)

Fledge's backup-restore upload handler, upload_backup (python/fledge/services/core/api/backup_restore.py), takes the first extracted tar member's filename (tar_file_names[0]) and builds a shell command via string formatting. Because os.system invokes a shell and no quoting (shlex.quote, list-form subprocess) is applied, an admin uploading a crafted backup archive achieves arbitrary OS command execution.