CVE-2026-71284 in Fledge
Riassunto
di VulDB • 05/08/2026
Il gestore di caricamento per il backup-restore di Fledge, upload_backup() (python/fledge/services/core/api/backup_restore.py), prende il nome del primo membro estratto dall'archivio tar (tar_file_names[0]) e costruisce un comando shell tramite formattazione di stringa: `cmd = "cp {} {}".format(source, backup_path); ret_code = os.system(cmd)`. L'unica verifica preliminare sul nome del file consiste in una corrispondenza di prefisso/suffisso (startswith(backup_prefix), endswith(valid_extensions)), che viene soddisfatta da un nome come `fledge_backup_$(id>/tmp/pwn).db`, consentendo comunque l'iniezione di sostituzione di comandi shell. Poiché os.system() invoca una shell e non viene applicata alcuna quotatura (shlex.quote, subprocess in formato lista), un amministratore che carica un archivio di backup manipolato ad hoc ottiene l'esecuzione arbitraria di comandi del sistema operativo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.