Iniciar sesión
Deutsch English Español Polski
Media

XML External Entity Reference in Glances

  • Publicada: 29.07.2021
  • Actualizado: 11.10.2026 11:20

The package glances before 3.2.1 are vulnerable to XML External Entity (XXE) Injection via the use of Fault to parse untrusted XML data, which is known to be vulnerable to XML attacks.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) glances < 3.2.1 3.2.1

Referencias

Puntuación CVSS 6.3/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L
Debilidad (CWE)
CWE-611
Plataforma
Python (PyPI)
Paquete
glances
Publicada
29.07.2021
Actualizado
11.10.2026 11:20

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2021-115 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-r2mj-8wgq-73m6 - CC BY 4.0

Historial de vulnerabilidades: glances

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (26) en el archivo
Entradas en total
26
Primera → última
07.2021 08.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 1
  • Alta 19
  • Media 6

Divulgaciones por año

Gravedad:
  1. XML External Entity Reference in Glances esta entrada
    Media · 6.3 CVE-2021-23418 < 3.2.1 3.2.1
  2. Glances: `--disable-config-exec` does not cover on-alert action commands (incomplete fix of CVE-2026-53925)
    Alta CVE-2026-68519 < 4.5.6 4.5.6
  3. Glances: Incomplete fix of CVE-2026-32608: action-template sanitizer is bypassed by nested stat values (process 'cmdline') → OS command injection
    Alta · 8.8 CVE-2026-62982 >= 4.5.2, < 4.5.6 4.5.6
  4. Glances has a command injection bypass of action-template sanitizer via cross-field shell-operator reconstruction
    Alta CVE-2026-68518 < 4.5.6 4.5.6
  5. Glances has arbitrary file write and command execution via `secure_popen` redirection and chaining operators in AMP command configuration
    Alta · 7.8 CVE-2026-53925 >= 4.0.8, < 4.5.5 4.5.5
  6. Glances: XML-RPC Multi-Origin CORS Configuration Silently Falls Back to Wildcard (Incomplete Fix for CVE-2026-33533)
    Alta · 7.4 CVE-2026-46608 < 4.5.5 4.5.5
  7. Glances has Insecure Pickle Deserialization in its Version Cache that Leads to Arbitrary Code Execution
    Alta · 7.8 CVE-2026-46607 < 4.5.5 4.5.5
  8. Glances is Vulnerable to Command Injection via KVM/QEMU VM Domain Names in glances/plugins/vms/engines/virsh.py
    Alta · 7.8 CVE-2026-46606 < 4.5.5 4.5.5
  9. Glances has SSRF in IP Plugin via public_api leading to credential leakage
    Alta · 8.8 CVE-2026-35587 < 4.5.4 4.5.4
  10. Glances: Cross-Origin Information Disclosure via Unauthenticated REST API (/api/4) due to Permissive CORS
    Alta · 6.5 CVE-2026-34839 < 4.5.4 4.5.4
  11. Glances Vulnerable to Command Injection via Dynamic Configuration Values
    Alta · 7.8 CVE-2026-33641 < 4.5.3 4.5.3
  12. Glances Vulnerable to Cross-Origin System Information Disclosure via XML-RPC Server CORS Wildcard
    Alta CVE-2026-33533 < 4.5.3 4.5.3
  13. Glances Central Browser Autodiscovery Leaks Reusable Credentials to Zeroconf-Spoofed Servers
    Alta · 8.1 CVE-2026-32634 < 4.5.2 4.5.2
  14. Glances's Browser API Exposes Reusable Downstream Credentials via `/api/4/serverslist`
    Crítica · 9.1 CVE-2026-32633 < 4.5.2 4.5.2
  15. Glances has a SQL Injection in DuckDB Export via Unparameterized DDL Statements
    Alta · 7.0 CVE-2026-32611 < 4.5.2 4.5.2
  16. Glances's Default CORS Configuration Allows Cross-Origin Credential Theft
    Alta · 8.1 CVE-2026-32610 < 4.5.2 4.5.2
  17. Glances has Incomplete Secrets Redaction: /api/v4/args Endpoint Leaks Password Hash and SNMP Credentials
    Alta · 7.5 CVE-2026-32609 < 4.5.2 4.5.2
  18. Glances has a Command Injection via Process Names in Action Command Templates
    Alta · 7.0 CVE-2026-32608 < 4.5.2 4.5.2
  19. Glances exposes the REST API without authentication
    Alta CVE-2026-32596 < 4.5.2 4.5.2
  20. Glances has SQL Injection via Process Names in TimescaleDB Export
    Alta CVE-2026-30930 < 4.5.1 4.5.1
  21. Glances Exposes Unauthenticated Configuration Secrets
    Alta CVE-2026-30928 < 4.5.1 4.5.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.