CVE-2026-108744
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
pbi-cli w wersjach od 3.10.1 do 3.12.0 zawiera podatność wstrzyknięcia polecenia systemowego w desktop_sync.py, która przekazuje niecytowane ścieżki .pbip do cmd /c start podczas ponownego otwierania projektów. Atakujący mogą nakłonić ofiary do otwarcia projektu Power BI ze ścieżki bez spacji zawierającej &, aby uruchomić polecenia z uprawnieniami ofiary podczas zapisu lub przeładowania raportu.
Ocena ryzyka
Organizacja naraża się na wykonanie dowolnych poleceń z uprawnieniami użytkownika otwierającego projekt, co może prowadzić do kompromitacji stacji roboczej i kradzieży danych. Ryzyko wymaga interakcji użytkownika, ale jest trudne do wykrycia.
Rekomendacja
Zaktualizuj pbi-cli do wersji nowszej niż 3.12.0, jeśli jest dostępna, oraz unikaj otwierania projektów Power BI z niezaufanych źródeł. Rozważ ograniczenie uprawnień użytkowników uruchamiających pbi-cli.
Powiązane podatności
- CVE-2026-79876Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79875Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79874Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79873Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79872Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79871Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79870Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79869Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79868Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79867Krytyczne
Brak opisu podatności w bazie NVD. Nie można określić charakteru ani zakresu problemu na podstawie dostępnych danych.
Oryginalny opis (angielski, źródło NVD)
pbi-cli 3.10.1 through 3.12.0 contains an OS command injection vulnerability in desktop_sync.py that passes unquoted .pbip paths to cmd /c start when reopening projects. Attackers can lure victims into opening a Power BI project from a space-free path containing & to run commands with victim privileges during report write or reload.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS