CVE-2026-48750 in Incus
Zusammenfassung
von VulDB • 21.08.2026
Incus ist ein System-Container- und Virtual-Machine-Manager. Vor Version 7.2.0 speichert der Parameter `record-output` des Endpunkts `/instances/$name/exec` die Ausgabe des Befehls im Verzeichnis `exec-output` der Instanz. Wenn `exec-output` ein Symlink ist, können Dateien mit den Namen `exec_UUID.stdout` und `exec_UUID.stderr` an einem beliebigen Speicherort geschrieben werden, wobei die `.stdout`-Datei willkürliche Inhalte enthalten wird. Dieses Verhalten kann für eine beliebigige Befehlsausführung (Arbitrary Command Execution) missbraucht werden. Version 7.2.0 enthält einen Patch.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.