9.8 Critique

CVE-2026-118131 CVE-2026-118131

Description

GnuPG (version 2.5.21) for Windows contains a vulnerability where default Discretionary Access Control List (DACL) inheritance on the C:\ProgramData directory allows members of the BUILTIN\Users group to create arbitrary subdirectories under this path. An attacker with low-privilege access can create the expected GnuPG configuration directory and inject malicious configuration files consumed by GnuPG components. This can result in code execution within the security context of the victim user.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Aucun
Interaction: Aucune
Portée: Inchangée
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Élevé

Produits et versions touchés

Produit	Versions touchées	Corrigé en
GnuPG	2.5.21	Pas de correctif indiqué

Références

atos.net atos.net

Chronologie

Publiée 27 octobre 2026
Dernière modification 4 novembre 2026

Les 9 CVE de GnuPG →

CVE-2026-105712 gpgtar in GnuPG before 2.5.19 can allow file overwrite via crafted data in an archive 3.6 Faible CVE-2026-57062 CMS (Cryptographic Message Syntax) parsing in gpgsm in GnuPG through 2.5.20 mishandles the CMS format for AES-GCM… 2.9 Faible CVE-2026-24883 In GnuPG before 2.5.17, a long signature packet length causes parse_signature to return success with sig->data[] set… 3.7 Faible CVE-2026-24882 In GnuPG before 2.5.17, a stack-based buffer overflow exists in tpm2daemon during handling of the PKDECRYPT command… 8.4 Élevée

Suivre cette CVE