CVE-2026-59680 in yast2-users
Сводка
по VulDB • 01.09.2026
В компоненте yast2-users обнаружена уязвимость внедрения команд операционной системы (OS command injection). При отображении вкладки «Парольные настройки» пользователя функция get_password_term() из файла src/include/users/dialogs.rb считывает поля shadowLastChange и shadowExpire с помощью функции GetString(), которая не выполняет числовую проверку, а затем передает полученную строку в функцию format_days_after_epoch(). Эта вспомогательная функция интерполирует значение в команду оболочки, выполняемую через обратные кавычки Ruby без экранирования или заключения в кавычки.
Влияние: администратор, управляющий пользователями во внешнем/федеративном LDAP-каталоге с помощью `yast2 users`, вызывает выполнение команд от имени root сразу же при просмотре или редактировании вкладки «Парольные настройки» конкретного пользователя. Для этого не требуется настройка доверия между доменами (join domain) или других подобных конфигураций; достаточно просто открыть или отредактировать одну запись пользователя.
Эта проблема затрагивает yast2-users вплоть до версии 5.0.8 включительно.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.