CVE-2026-71283

4.9 Moyenne

Publiée le 05/08/2026 à 15:24 · Modifiée le 26/08/2026 à 19:13 · Analyse NVD reportée · Source : 309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c

Description

Fledge's backup-restore upload handler, upload_backup (python/fledge/services/core/api/backup_restore.py), calls tarfile.extractall(temp_path) on an admin-uploaded tar archive with no filter argument and no per-member path validation. Requires the admin role (@has_permission("admin")).

Traduire en français

Produits concernés

fledge-iot fledge

Scores CVSS

Version	Score	Source	Vecteur
3.1	4.9 Moyenne	309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c	`CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N`

Faiblesses (CWE)

CWE-22

Références

https://github.com/fledge-iot/fledge
https://github.com/fledge-iot/fledge/blob/main/python/fledge/services/core/api/backup_restore.py

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories