CVE-2026-102262

WysokieCVSS 7.3

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 11/10/2026(UTC)Przetłumaczono: 06/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Newell Brands DYMO ID 1.5.1.71 rozwiązuje katalog wtyczek Modules względem katalogu roboczego procesu. Atakujący mógłby umieścić plik zadania wraz ze złośliwymi modułami/DLL, który ustawia katalog roboczy procesu na folder pliku zadania, gdy ofiara kliknie ten plik, co skutkuje wykonaniem kodu na poziomie uprawnień ofiary.

Ocena ryzyka

Lokalny atakujący może wykonać dowolny kod z uprawnieniami ofiary, co może prowadzić do kompromitacji systemu i danych użytkownika.

Rekomendacja

Należy zaktualizować DYMO ID do wersji 1.6.0, w której podatność została naprawiona.

Inne podatności w DYMO ID

CVE-2026-101893Średnie
Newell Brands DYMO ID 1.5.1.71 parsuje pliki zadań za pomocą XmlDocument.Load() bez wyłączania przetwarzania DTD. Widok PC Job Files automatycznie parsuje każde rozpoznane rozszerzenie pliku zadania podczas przeglądania folderów. Spreparowany plik na dowolnym przeglądanym udziale sieciowym może wykonać SSRF, przechwycić poświadczenia NTLMv2, odczytać lokalne pliki lub spowodować awarię procesu. Naprawiono w wersji 1.6.0.

Oryginalny opis (angielski, źródło NVD)

Newell Brands DYMO ID 1.5.1.71 resolves its plugin Modules directory relative to the process working directory. An attacker could store a job file alongside malicious modules / DLL that sets the process working directory to the job file's folder when a victim clicks on the file, resulting in code execution at the victim's privilege level. Fixed in 1.6.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS