CVE-2026-45579 in DIRAC
Résumé
par VulDB • 15/09/2026
DIRAC est un interware, c'est-à-dire un framework logiciel pour le calcul distribué. Avant les versions 8.0.79, 9.0.22 et 9.1.10, la fonction export_getRequestCountersWeb de RequestManagementSystem/Service/ReqManagerHandler.py transmet un groupingAttribute contrôlé par l'appelant authentifié à getRequestCountersWeb dans RequestManagementSystem/DB/RequestDB.py. Une valeur non reconnue est résolue par rapport à l'objet Request et évaluée en tant que code Python, permettant à une expression d'attribut dunder (dunder attribute) fabriquée de parvenir aux fonctions du système d'exploitation et d'exécuter des commandes avec le compte exécutant les services DIRAC. Une exploitation réussie peut exposer dirac.cfg, les mots de passe de la base de données, les proxies stockés et les jetons (tokens), compromettre entièrement le système DIRAC et permettre l'altération des preuves journalisées localement. Ce problème est corrigé dans les versions 8.0.79, 9.0.22 et 9.1.10.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.