CVE-2026-101893

ŚrednieCVSS 4.4

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 11/10/2026(UTC)Przetłumaczono: 06/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Newell Brands DYMO ID 1.5.1.71 parsuje pliki zadań za pomocą XmlDocument.Load() bez wyłączania przetwarzania DTD. Widok PC Job Files automatycznie parsuje każde rozpoznane rozszerzenie pliku zadania podczas przeglądania folderów. Spreparowany plik na dowolnym przeglądanym udziale sieciowym może wykonać SSRF, przechwycić poświadczenia NTLMv2, odczytać lokalne pliki lub spowodować awarię procesu. Naprawiono w wersji 1.6.0.

Ocena ryzyka

Atakujący może wykorzystać podatność do kradzieży poświadczeń, odczytu lokalnych plików lub przeprowadzenia ataków SSRF, co może prowadzić do naruszenia poufności i integralności systemu.

Rekomendacja

Zaktualizuj DYMO ID do wersji 1.6.0 lub nowszej, która zawiera poprawkę.

Inne podatności w DYMO ID

CVE-2026-102262Wysokie
Newell Brands DYMO ID 1.5.1.71 rozwiązuje katalog wtyczek Modules względem katalogu roboczego procesu. Atakujący mógłby umieścić plik zadania wraz ze złośliwymi modułami/DLL, który ustawia katalog roboczy procesu na folder pliku zadania, gdy ofiara kliknie ten plik, co skutkuje wykonaniem kodu na poziomie uprawnień ofiary.

Oryginalny opis (angielski, źródło NVD)

Newell Brands DYMO ID 1.5.1.71 parses job files using XmlDocument.Load() without disabling DTD processing. The PC Job Files view automatically parses every recognized job file extension on folder browse. A crafted file on any browsed network share can perform SSRF, capture NTLMv2 credentials, read local files, or crash the process. Fixed in 1.6.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS