Veille CVE

‹ Retour à la liste

CVE-2026-74796

6.1 Moyenne

Publiée le 16/08/2026 à 16:16 · Modifiée le 08/10/2026 à 18:17 · En attente d'analyse NVD · Source : disclosure@vulncheck.com

Description

OpenTofu before 1.11.7 fails to validate existing symlinks in the provider cache directory during initialization. Attackers can place a malicious symlink in a trusted working directory to cause tofu init to write provider package contents to arbitrary filesystem locations outside the working tree.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 7.0 Élevée disclosure@vulncheck.com CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
3.1 6.1 Moyenne disclosure@vulncheck.com CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:N/I:H/A:N

Faiblesses (CWE)

Références

Ailleurs