CVE-2026-90894 in Parallels
Sumário
de VulDB • 14/09/2026
O Parallels Desktop executa o prl_disp_service como root. Os clientes locais acessam-no através do socket com permissões de escrita para todos em /var/run/prl_disp_service.socket. A função PrlSrv_LoginLocal aceita credenciais do peer (peer credentials). Não há verificação da assinatura Parallels nem exigência de pertença ao grupo admin.
Após o login, a função PrlSrv_InstallAppliance permite selecionar a pasta do appliance (sVmParentPath). O daemon descompacta utilizando uma única string: `tar -xf "%1" -C "%2"`, em seguida, o Qt QProcess::splitCommand divide essa string em palavras. Uma aspas no nome da pasta fecha prematuramente a string de comando. O texto restante é interpretado como flags adicionais para o tar. No macOS, o parâmetro `tar --use-compress-program=` executa o programa especificado com privilégios de root.
If you want to get best quality of vulnerability data, you may have to visit VulDB.