CVE-2026-71284

Nome do Software Vulnerável e Versões Afetadas Fledge (versões afetadas não especificadas)

Descrição O manipulador de upload de backup e restauração upload backup(), localizado em python/fledge/services/core/api/backup restore.py, é suscetível à injeção de comandos do sistema operacional. O manipulador processa o nome do arquivo do primeiro membro extraído do tar tar file names[0] e o incorpora em um comando de shell usando formatação de string. Como o sistema utiliza os.system() sem a citação adequada ou o uso de subprocessos em formato de lista, um administrador pode fazer o upload de um arquivo de backup especialmente criado para executar comandos arbitrários do sistema operacional. A validação existente verifica apenas prefixos e sufixos específicos, que podem ser ignorados usando a substituição de comandos de shell no nome do arquivo.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.