CVE-2026-45579

Nome do Software Vulnerável e Versões Afetadas DIRAC versões anteriores a 8.0.79 DIRAC versões anteriores a 9.0.22 DIRAC versões anteriores a 9.1.10

Description A execução remota de código é possível no RequestManager porque a função export getRequestCountersWeb() passa parâmetros diretamente para a instância do banco de dados. Quando a variável groupingAttribute não é reconhecida, o sistema prefixa Request. a ela e passa o resultado para uma chamada eval(). Um usuário autenticado pode fornecer uma string dunder aplicável ao objeto Request para acessar funções no módulo os e executar comandos no contexto do servidor. Isso pode levar a um comprometimento total do sistema, incluindo acesso ao arquivo dirac.cfg, senhas do banco de dados e proxies e tokens armazenados. Além disso, invasores podem ser capazes de remover evidências da exploração dos logs locais.

Recommendations Atualize para a versão 8.0.79 ou posterior. Atualize para a versão 9.0.22 ou posterior. Atualize para a versão 9.1.10 ou posterior.