CVE-2026-90894 in Parallels
Zusammenfassung
von VulDB • 14.09.2026
Parallels Desktop führt prl_disp_service als Root aus. Lokale Clients erreichen es über den weltweit beschreibbaren Socket /var/run/prl_disp_service.socket. PrlSrv_LoginLocal akzeptiert Peer-Anmeldeinformationen (Peer Credentials). Keine Parallels-Signatur. Keine Admin-Gruppe.
Nach der Anmeldung ermöglicht PrlSrv_InstallAppliance die Auswahl des Appliance-Ordners (sVmParentPath). Der Daemon entpackt mit einem einzigen Befehl, `tar -xf "%1" -C "%2"`, wobei Qt QProcess::splitCommand diese Zeichenkette in Wörter aufteilt. Ein Anführungszeichen im Ordnernamen schließt frühzeitig ab. Der verbleibende Text wird zu zusätzlichen tar-Flags. macOS tar --use-compress-program= führt das benannte Programm als Root aus.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.