9.9 Critique

CVE-2026-48755 Incus has an argument injection in backup compression algorithm leading to AFW and ACE

Description

Incus is a system container and virtual machine manager. Prior to version 7.1.0, improper validation of user-provided backup compression algorithm leads to argument injection in the constructed command line. This leads to an arbitrary file write on the host, possibly leading to arbitrary command execution. Version 7.1.0 patches the issue.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Exploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Faibles
Interaction: Aucune
Portée: Modifiée
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Élevé

Produits et versions touchés

Produit	Versions touchées	Corrigé en
incus 7.2	premières → < 7.2.0	7.2.0
LXD 6.0	6.0.0 → < 6.9.0	6.9.0
LXD 5.1	5.1.0 → < 5.21.5	5.21.5
LXD 5.0	5.0.0 → < 5.0.7	5.0.7
LXD 4.0	4.0.0 → < 4.0.11	4.0.11

Références

github.com github.com
github.com github.com

Chronologie

Publiée 21 août 2026
Dernière modification 5 novembre 2026

Les 47 CVE de incus →

CVE-2026-115378 Incus before 6.0.7, 6.1.0 before 7.0.2, and 7.1.0 before 7.5.0 contains an arbitrary file write vulnerability in… 6.9 Moyenne CVE-2026-115377 Incus before 6.0.7, 6.1.0 before 7.0.2, and 7.1.0 before 7.5.0 contains an arbitrary file write vulnerability that… 9.4 Critique CVE-2026-115376 Incus 7.0.1 before 7.0.2 and 7.2.0 before 7.5.0 contains an authorization bypass vulnerability that allows… 8.3 Élevée CVE-2026-115375 Incus 7.0.0 before 7.0.2 and 7.1.0 before 7.5.0 Path Traversal via Instance Backup Dependent Volumes 9.4 Critique

Suivre cette CVE