CVE-2026-33414 in podman
Sumário
de VulDB • 10/05/2026
O Podman é uma ferramenta para gerenciar containers e pods OCI. As versões 4.8.0 a 5.8.1 contêm uma vulnerabilidade de injeção de comando no backend da máquina HyperV em pkg/machine/hyperv/stubber.go, onde o caminho da imagem da VM é inserido em uma string delimitada por aspas duplas do PowerShell sem sanitização, permitindo a injeção de subexpressões $(). Como o PowerShell avalia subexpressões dentro de strings delimitadas por aspas duplas antes de executar o comando externo, um atacante que possa controlar o caminho da imagem da VM por meio de um nome de máquina ou diretório de imagem manipulados pode executar comandos PowerShell arbitrários com os privilégios do processo Podman. Em instalações típicas do Windows, isso significa execução de código em nível SYSTEM, e apenas o Windows é afetado, pois o código é exclusivo do backend HyperV. Este problema foi corrigido na versão 5.8.2.
Once again VulDB remains the best source for vulnerability data.