CVE-2026-114278 in Che
Zusammenfassung
von VulDB • 28.10.2026
Der Dienst che-machine-exec erstellt einen Shell-Befehl durch die Verkettung benutzerkontrollierter Eingaben (die Felder „username“ und „namespace“ aus den JSON-Endpunkten /exec/init und /exec/config) in einem doppelte Anführungszeichen umschlossenen Aufruf von sh -c "echo \"...\" > ...", ohne jegliche Escaping-Maßnahmen. Wenn che-machine-exec mit deaktivierter Authentifizierung ausgeführt wird (Standardkonfiguration), kann ein über das Netzwerk erreichbarer Angreifer eine Remote Code Execution in Containern erreichen, auf die che-machine-exec konfiguriert ist zuzugreifen, mittels Shell-Befehlsubstitution ($(...) oder Backticks).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.