CVE-2026-35587

Name of the Vulnerable Software and Affected Versions Glances versões anteriores a 4.5.4

Description Um problema de Server-Side Request Forgery (SSRF) existe no plugin IP do Glances devido a a validação inadequada do parâmetro de configuração public api. O valor de public api é passado diretamente para a função urlopen auth() sem restrições de esquema de URL, nome de host ou endereço IP. Um invasor capaz de modificar a configuração pode forçar a aplicação a enviar requisições para endpoints internos ou externos arbitrários, como localhost, faixas de rede privada ou endpoints de metadados de nuvem (ex: 'http://169.254.169.254/'). Além disso, se public username e public password estiverem configurados, o Glances inclui automaticamente essas credenciais no cabeçalho Authorization: Basic, resultando no vazamento de credenciais para servidores controlados pelo invasor.

Recommendations Atualize para a versão 4.5.4. Como medida paliativa temporária, evite usar o parâmetro public api na configuração do plugin IP até que a atualização seja aplicada.