CVE catalog

CVE-2026-23953

lxd: CVE-2026-23953

Severity: High · CVSS 8.7CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
Published: Jan 22, 2026, 9:39:41 PM UTC
Source: [NVD] · [CVE record]
EPSS: 0.49% · Oct 25, 2026

Incus is a system container and virtual machine manager. In versions 6.20.0 and below, a user with the ability to launch a container with a custom YAML configuration (e.g a member of the ‘incus’ group) can create an environment variable containing newlines, which can be used to add additional configuration items in the container’s lxc.conf due to newline injection. This can allow adding arbitrary lifecycle hooks, ultimately resulting in arbitrary command execution on the host. Exploiting this issue on IncusOS requires a slight modification of the payload to change to a different writable directory for the validation step (e.g /tmp). This can be confirmed with a second container with /tmp mounted from the host (A privileged action for validation only). A fix is planned for versions 6.0.6 and 6.21.0, but they have not been released at the time of publication.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

Distribution	Package	Release	Version	Status
Debian	lxd	trixie	`5.0.2+git20231211.1364ae4-9+deb13u7`	fixed
Debian	lxd	trixie-security	`5.0.2+git20231211.1364ae4-9+deb13u7`	fixed
Debian	lxd	bookworm	`5.0.2-5+deb12u6`	vulnerable
Debian	lxd	bookworm-security	`5.0.2-5+deb12u6`	vulnerable
Ubuntu	lxd	pro	`2.18-0ubuntu6`	vulnerable
Ubuntu	lxd	pro	`2.19-0ubuntu1`	vulnerable
Ubuntu	lxd	pro	`2.20-0ubuntu3`	vulnerable
Ubuntu	lxd	pro	`2.20-0ubuntu4`	vulnerable
Ubuntu	lxd	pro	`2.21-0ubuntu1`	vulnerable
Ubuntu	lxd	pro	`2.21-0ubuntu2`	vulnerable
Ubuntu	lxd	pro	`2.21-0ubuntu3`	vulnerable
Ubuntu	lxd	pro	`2.21-0ubuntu4`	vulnerable
Ubuntu	lxd	pro	`3.0.0~beta2-0ubuntu3`	vulnerable
Ubuntu	lxd	pro	`3.0.0~beta3-0ubuntu3`	vulnerable
Ubuntu	lxd	pro	`3.0.0~beta5-0ubuntu2`	vulnerable
Ubuntu	lxd	pro	`3.0.0~beta7-0ubuntu1`	vulnerable
Ubuntu	lxd	pro	`3.0.0-0ubuntu1`	vulnerable
Ubuntu	lxd	pro	`3.0.0-0ubuntu2`	vulnerable
Ubuntu	lxd	pro	`3.0.0-0ubuntu3`	vulnerable
Ubuntu	lxd	pro	`3.0.0-0ubuntu4`	vulnerable
Ubuntu	lxd	pro	`3.0.1-0ubuntu1~18.04.1`	vulnerable
Ubuntu	lxd	pro	`3.0.2-0ubuntu1~18.04.1`	vulnerable
Ubuntu	lxd	pro	`3.0.3-0ubuntu1~18.04.1`	vulnerable
Ubuntu	lxd	pro	`3.0.3-0ubuntu1~18.04.2`	vulnerable
Ubuntu	lxd	pro	`3.0.3-0ubuntu1~18.04.2+esm1`	vulnerable
Ubuntu	lxd	pro	`3.0.3-0ubuntu1~18.04.2+esm2`	vulnerable
Ubuntu	lxd	pro	`3.0.3-0ubuntu1~18.04.2+esm3`	vulnerable
Ubuntu	lxd	20.04	`1:0.7`	vulnerable
Ubuntu	lxd	20.04	`1:0.8`	vulnerable
Ubuntu	lxd	20.04	`1:0.9`	vulnerable
Ubuntu	lxd	20.04	`1:0.10`	vulnerable
Ubuntu	incus	pro	`6.0.4-2`	vulnerable
Ubuntu	incus	pro	`6.0.5-8`	vulnerable
Ubuntu	incus	pro	`6.0.5-8ubuntu0.26.04.1~esm1`	vulnerable
Ubuntu	incus	25.10	`6.0.3-4`	vulnerable
Ubuntu	incus	25.10	`6.0.4-2`	vulnerable
Opensuse	incus	tumbleweed	`6.22-1.1`	fixed

Fixed-version evidence

Distribution	Package	Type	Release	Fixed version	Urgency	Origin	Bugs
Debian	lxd	source	trixie	`5.0.2+git20231211.1364ae4-9+deb13u3`	not yet assigned	Not reported	Not reported
Debian	lxd	source	bookworm	`(unfixed)`	end-of-life	Not reported	Not reported
Opensuse	incus	rpm	tumbleweed	`6.22-1.1`	Not reported	OPENSUSE-SU-2026:10280-1	Not reported

OpenFactory catalog packages

[Debian 12 (Bookworm)]

[lxd]Affected
Details (4)
- 5.0.2-5+deb12u6 · amd64 · bookworm
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · arm64 · bookworm
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · amd64 · bookworm-security
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · arm64 · bookworm-security
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
[lxd-agent]Affected
Source package: [lxd]
Details (4)
- 5.0.2-5+deb12u6 · amd64 · bookworm
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · arm64 · bookworm
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · amd64 · bookworm-security
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · arm64 · bookworm-security
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
[lxd-client]Affected
Source package: [lxd]
Details (4)
- 5.0.2-5+deb12u6 · amd64 · bookworm
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · arm64 · bookworm
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · amd64 · bookworm-security
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · arm64 · bookworm-security
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
[lxd-migrate]Affected
Source package: [lxd]
Details (4)
- 5.0.2-5+deb12u6 · amd64 · bookworm
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · arm64 · bookworm
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · amd64 · bookworm-security
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · arm64 · bookworm-security
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
[lxd-tools]Affected
Source package: [lxd]
Details (4)
- 5.0.2-5+deb12u6 · amd64 · bookworm
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · arm64 · bookworm
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · amd64 · bookworm-security
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12
- 5.0.2-5+deb12u6 · arm64 · bookworm-security
  Affected · Fixed: 5.0.2-5+deb12u3
  dsa · lxd · debian · bookworm; dsa · lxd · debian · 12

[openSUSE Tumbleweed]

[incus-cli]Unknown
Source package: [incus]
Details (1)
- 6.23-3.1 · x86_64 · tumbleweed
  Unknown · Fixed: 6.22-1.1
  Version impact unknown
  dsa · incus · opensuse · tumbleweed
[incus-cli-bash-completion]Unknown
Source package: [incus]
Details (1)
- 6.23-3.1 · noarch · tumbleweed
  Unknown · Fixed: 6.22-1.1
  Version impact unknown
  dsa · incus · opensuse · tumbleweed
[incus-cli-fish-completion]Unknown
Source package: [incus]
Details (1)
- 6.23-3.1 · noarch · tumbleweed
  Unknown · Fixed: 6.22-1.1
  Version impact unknown
  dsa · incus · opensuse · tumbleweed
[incus-cli-zsh-completion]Unknown
Source package: [incus]
Details (1)
- 6.23-3.1 · noarch · tumbleweed
  Unknown · Fixed: 6.22-1.1
  Version impact unknown
  dsa · incus · opensuse · tumbleweed
[incus-tools]Unknown
Source package: [incus]
Details (1)
- 6.23-3.1 · x86_64 · tumbleweed
  Unknown · Fixed: 6.22-1.1
  Version impact unknown
  dsa · incus · opensuse · tumbleweed

[Debian 13 (Trixie)]

[golang-github-canonical-lxd-dev]Fixed
Source package: [lxd]
Details (4)
- 5.0.2+git20231211.1364ae4-9+deb13u7 · all · trixie
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
- 5.0.2+git20231211.1364ae4-9+deb13u7 · all · trixie
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
- 5.0.2+git20231211.1364ae4-9+deb13u7 · all · trixie-security
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
- 5.0.2+git20231211.1364ae4-9+deb13u7 · all · trixie-security
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
[golang-github-lxc-incus-dev]Fixed
Source package: [incus]
Details (7)
- 6.0.4-2+deb13u8 · all · trixie
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u8 · all · trixie
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 7.0.1-2~bpo13+1 · all · trixie-backports
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 7.0.1-2~bpo13+1 · all · trixie-backports
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u11 · all · trixie-security
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u9 · all · trixie-security · Historical version
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u9 · all · trixie-security
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
[incus]Fixed
Details (7)
- 6.0.4-2+deb13u8 · amd64 · trixie
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u8 · arm64 · trixie
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 7.0.1-2~bpo13+1 · amd64 · trixie-backports
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 7.0.1-2~bpo13+1 · arm64 · trixie-backports
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u11 · amd64 · trixie-security
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u9 · amd64 · trixie-security · Historical version
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u9 · arm64 · trixie-security
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
[incus-agent]Fixed
Source package: [incus]
Details (7)
- 6.0.4-2+deb13u8 · amd64 · trixie
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u8 · arm64 · trixie
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 7.0.1-2~bpo13+1 · amd64 · trixie-backports
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 7.0.1-2~bpo13+1 · arm64 · trixie-backports
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u11 · amd64 · trixie-security
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u9 · amd64 · trixie-security · Historical version
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u9 · arm64 · trixie-security
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
[incus-base]Fixed
Source package: [incus]
Details (7)
- 6.0.4-2+deb13u8 · amd64 · trixie
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u8 · arm64 · trixie
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 7.0.1-2~bpo13+1 · amd64 · trixie-backports
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 7.0.1-2~bpo13+1 · arm64 · trixie-backports
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u11 · amd64 · trixie-security
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u9 · amd64 · trixie-security · Historical version
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u9 · arm64 · trixie-security
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
[incus-client]Fixed
Source package: [incus]
Details (7)
- 6.0.4-2+deb13u8 · amd64 · trixie
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u8 · arm64 · trixie
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 7.0.1-2~bpo13+1 · amd64 · trixie-backports
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 7.0.1-2~bpo13+1 · arm64 · trixie-backports
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u11 · amd64 · trixie-security
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u9 · amd64 · trixie-security · Historical version
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u9 · arm64 · trixie-security
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
[incus-extra]Fixed
Source package: [incus]
Details (7)
- 6.0.4-2+deb13u8 · amd64 · trixie
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u8 · arm64 · trixie
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 7.0.1-2~bpo13+1 · amd64 · trixie-backports
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 7.0.1-2~bpo13+1 · arm64 · trixie-backports
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u11 · amd64 · trixie-security
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u9 · amd64 · trixie-security · Historical version
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
- 6.0.4-2+deb13u9 · arm64 · trixie-security
  Fixed · Fixed: 6.0.4-2+deb13u4
  dsa · incus · debian · 13
[lxd]Fixed
Details (4)
- 5.0.2+git20231211.1364ae4-9+deb13u7 · amd64 · trixie
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
- 5.0.2+git20231211.1364ae4-9+deb13u7 · arm64 · trixie
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
- 5.0.2+git20231211.1364ae4-9+deb13u7 · amd64 · trixie-security
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
- 5.0.2+git20231211.1364ae4-9+deb13u7 · arm64 · trixie-security
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
[lxd-agent]Fixed
Source package: [lxd]
Details (4)
- 5.0.2+git20231211.1364ae4-9+deb13u7 · amd64 · trixie
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
- 5.0.2+git20231211.1364ae4-9+deb13u7 · arm64 · trixie
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
- 5.0.2+git20231211.1364ae4-9+deb13u7 · amd64 · trixie-security
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
- 5.0.2+git20231211.1364ae4-9+deb13u7 · arm64 · trixie-security
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
[lxd-client]Fixed
Source package: [lxd]
Details (4)
- 5.0.2+git20231211.1364ae4-9+deb13u7 · amd64 · trixie
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
- 5.0.2+git20231211.1364ae4-9+deb13u7 · arm64 · trixie
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
- 5.0.2+git20231211.1364ae4-9+deb13u7 · amd64 · trixie-security
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13
- 5.0.2+git20231211.1364ae4-9+deb13u7 · arm64 · trixie-security
  Fixed · Fixed: 5.0.2+git20231211.1364ae4-9+deb13u3
  dsa · lxd · debian · 13

Next results

Observed: Oct 27, 2026, 10:04:16 AM UTC

References

[Debian Security Tracker] · [FIRST EPSS] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX] · [SUSE security advisories and VEX]