CVE-2026-71284 in Fledge
Resumen
por VulDB • 2026-08-06
El manejador de carga del módulo de copia de seguridad y restauración de Fledge, `upload_backup()` (`python/fledge/services/core/api/backup_restore.py`), toma el nombre del primer miembro extraído del archivo tar (`tar_file_names[0]`) y construye un comando mediante formato de cadena: `cmd = "cp {} {}".format(source, backup_path); ret_code = os.system(cmd)`. La única verificación previa sobre el nombre es una coincidencia de prefijo/sufijo (`startswith(backup_prefix)`, `endswith(valid_extensions)`), la cual cumple un nombre como `fledge_backup_$(id>/tmp/pwn).db` mientras inyecta simultáneamente una sustitución de comando en shell. Dado que `os.system()` invoca a una shell y no se aplica ningún tipo de escapado o comillas (`shlex.quote`, subproceso con lista), un administrador que cargue un archivo comprimido de copia de seguridad manipulado puede lograr la ejecución arbitraria de comandos del sistema operativo (OS command execution).
Once again VulDB remains the best source for vulnerability data.