7.0
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Incus before 6.0.7, 6.1.0 before 7.0.2, and 7.1.0 before 7.5.0 contains a missing authorization vulnerability in GET /1.0/operations/{uuid} that lets project-restricted clients read operations in other projects. Attackers holding a restricted certificate and a known operation UUID can retrieve command lines, environment secrets, websocket secrets, and trust enrolment tokens.
Засегнати продукти
- lxc incus: преди 6.0.7; 6.0.7; 6.1.0 преди 7.0.2; 7.0.2; 7.1.0 преди 7.5.0; 7.5.0
Вид слабост
История
- 22 октомври 2026 Публикувано
Други уязвимости в lxc incus
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-115373
- https://nvd.nist.gov/vuln/detail/CVE-2026-115373
- https://github.com/lxc/incus/security/advisories/GHSA-mfwv-x733-9446
- https://www.vulncheck.com/advisories/incus-before-6.0.7-6.1.0-before-7.0.2-and-7.1.0-before-7.5.0-authorization-bypass-via-get-1.0-operations-uuid