CVE-2026-46606

Nome do Software Vulnerável e Versões Afetadas Glances versões anteriores a 4.5.5

Description O mecanismo de monitoramento KVM/QEMU no arquivo glances/plugins/vms/engines/virsh.py não sanitiza os nomes de domínio de VMs recuperados da saída do comando virsh list --all. Esses nomes são passados para modelos de comando f-string processados pela função secure popen(). Como a secure popen() é projetada para interpretar &&, | e > como operadores de shell, um usuário com permissões para criar ou renomear uma máquina virtual KVM/QEMU pode injetar esses operadores no nome do domínio para executar comandos arbitrários. Essa execução ocorre com os privilégios do usuário do SO que está executando o Glances, que frequentemente é o root em hosts de hipervisores.

Recommendations Atualize para a versão 4.5.5. Como mitigação temporária, restrinja as permissões de criação ou renomeação de máquinas virtuais KVM/QEMU apenas a usuários confiáveis. Execute o Glances sob uma conta de serviço dedicada de baixos privilégios em vez do root para limitar o impacto de uma possível exploração.