Vulnérabilité dans glances (CVE-2026-33533)
Résumé
Vulnérabilité dans glances (CVE-2026-33533). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 4.5.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
The Glances XML-RPC server (activated with glances -s or glances --server) sends Access-Control-Allow-Origin: * on every HTTP response. Because the XML-RPC handler does not validate the Content-Type header, an attacker-controlled webpage can issue a CORS "simple request" (POST with Content-Type: text/plain) containing a valid XML-RPC payload. The browser sends the request without a preflight check, the server processes the XML body and returns the full system monitoring dataset, and the wildcard CORS header lets the attacker's JavaScript read the response. The result is complete exfiltration of hostname, OS version, IP addresses, CPU/memory/disk/network stats, and the full process list including command lines (which often contain tokens, passwords, or internal paths).
Details
File: glances/server.py, class GlancesXMLRPCHandler, line 41
def send_my_headers(self):
self.send_header("Access-Control-Allow-Origin", "*")
This header is attached to every response from the XML-RPC server. The server inherits from SimpleXMLRPCRequestHandler which parses the POST body as XML regardless of the Content-Type header. Combined with the default unauthenticated configuration (server.isAuth = False, line 196), any website on the internet can call getAll(), getPlugin(), getAllPlugins(), getAllLimits(), or getAllViews() and read the results.
The REST API had the same issue and it was fixed in 4.5.1 (CVE-2026-32610). The XML-RPC server was not patched. The t…
Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-33533 a été découverte dans glances.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour glances vers 4.5.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « glances CVE-2026-33533 » sur le site de l'éditeur.
CVE-2026-33533 (glances) — CWE-942
Correctif : 4.5.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-942) affecte glances.
Consultez l'avis de l'éditeur pour les versions affectées de glances.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 4.5.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'glances' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
glancesを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade glances to 4.5.1ステージング環境で 4.5.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-33533 glances
- Ubuntu UBUNTU-CVE-2026-33533 glances
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com