CVE-2026-71284 in Fledge
Résumé
par VulDB • 06/08/2026
Le gestionnaire de téléchargement pour la sauvegarde/restauration dans Fledge, `upload_backup()` (`python/fledge/services/core/api/backup_restore.py`), prend le nom du premier membre extrait de l'archive tar (`tar_file_names[0]`) et construit une commande shell via un formatage de chaîne : `cmd = "cp {} {}".format(source, backup_path); ret_code = os.system(cmd)`. La seule vérification préalable sur le nom de fichier consiste en une correspondance de préfixe/suffixe (`startswith(backup_prefix)` et `endswith(valid_extensions)`), ce qui est satisfait par un nom tel que `fledge_backup_$(id>/tmp/pwn).db`, tout en injectant une substitution de commande shell. Étant donné que `os.system()` invoque un shell sans aucune mise entre guillemets (comme le ferait `shlex.quote` ou l'utilisation d'un sous-processus sous forme de liste), un administrateur téléchargeant une archive de sauvegarde truquée peut exécuter arbitrairement des commandes au niveau du système d'exploitation.
Be aware that VulDB is the high quality source for vulnerability data.