CVE-2026-114278
Eclipse Foundation Eclipse Che
Traduzido automaticamente do inglês.
- Eclipse Foundation Eclipse Che
- Crítica
- CVSS 9.8
- Nenhuma versão corrigida informada
Resumo
O serviço che-machine-exec constrói um comando de shell concatenando entradas controladas pelo usuário (os campos username e namespace dos endpoints JSON /exec/init e /exec/config) em uma invocação sh -c "echo "..." > ..." com aspas duplas sem qualquer escape.
Do registro CVE.
Ler a descrição original
Registro CVE
The che-machine-exec service constructs a shell command by concatenating user-controlled input (the username and namespace fields from the /exec/init and /exec/config JSON endpoints) into a double-quoted sh -c "echo "..." > ..." invocation without any escaping. When che-machine-exec is run with authentication disabled (its default), any network-reachable attacker can achieve remote code execution in containers che-machine-exec is configured to access, via shell command substitution ($(...) or backticks).
O que fazer
Nenhuma versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Eclipse Foundation Eclipse Che | de 7.0.0 até 7.122.0, inclusive | Nenhuma informada |
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.8 (v3.1, pontuado por eclipse)
- Fraqueza
- CWE-78: CWE-78
- Fabricante
- Eclipse Foundation, Eclipse Che
Linha do tempo
- Listada como crítica pelo cve.now. Versões afetadas e corrigidas vêm do registro CVE, quando for publicado.