9.4 Critique

CVE-2026-44939 Command injection through unsanitized YAML parameter in Rancher

Description

A command injection vulnerability in the Rancher Manager cluster before 2.14.2 import endpoint /v3/import/{token}_{clusterId}.yaml through unsanitized YAML parameters could allow remote attackers to break out of an image, and execute e.g. malicious containers.

Détail CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Exploitable à distance par le réseau, sans compte et si un utilisateur effectue une action ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Prérequis d’attaque: Aucun
Privilèges requis: Aucun
Interaction: Passive
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Élevé
Confidentialité des autres systèmes: Élevé
Intégrité des autres systèmes: Élevé
Disponibilité des autres systèmes: Élevé

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Rancher 2.14	2.14.0 → < 2.14.2	2.14.2
Rancher 2.13	2.13.0 → < 2.13.6	2.13.6
Rancher 2.12	2.12.0 → < 2.12.10	2.12.10
Rancher 2.11	2.11.0 → < 2.11.14	2.11.14
Rancher 2.10	2.10.0 → < 2.10.12	2.10.12

Références

github.com github.com

Chronologie

Publiée 19 juin 2026
Dernière modification 3 novembre 2026

Les 86 CVE de Rancher →

CVE-2026-88811 Missing filtering in the SUSE Rancher Manager meta proxy could cause passed in rancher credentials to be leaked to cloud… 9.1 Critique CVE-2026-88810 A privilege escalation issue was discovered in Rancher Manager's role-based access control 7.2 Élevée CVE-2026-88809 A security vulnerability exists in the SUSE Rancher Manager meta proxy endpoint (/meta/proxy) 7.6 Élevée CVE-2026-94290 SUSE Rancher Fleet clusters reference a kubeconfig secret that the controller uses to install and manage a Fleet agent… 9.1 Critique

Suivre cette CVE