CVE-2026-13500
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W bibliotece ANTLR4 do wersji 4.13.2 wykryto podatność w funkcji obsługi bloków akcji gramatyki w pliku OutputFile.java. Manipulacja danymi wejściowymi może prowadzić do zdalnego wstrzyknięcia kodu. Publicznie dostępny exploit umożliwia ataki.
Ocena ryzyka
Organizacja narażona jest na zdalne przejęcie kontroli nad systemem poprzez wstrzyknięcie złośliwego kodu do aplikacji korzystających z podatnej wersji ANTLR4. Atak może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę ANTLR4 do wersji nowszej niż 4.13.2, jeśli taka jest dostępna, lub zastosować tymczasowe zabezpieczenia, takie jak filtrowanie danych wejściowych przetwarzanych przez gramatykę.
Inne podatności w ANTLR4
Zobacz wszystkie- CVE-2026-13503Średnie
W bibliotece ANTLR4 do wersji 4.13.2 wykryto podatność na path traversal w funkcji getImportedVocabFile w pliku TokenVocabParser.java. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-13502Średnie
W bibliotece ANTLR4 do wersji 4.13.2 wykryto podatność polegającą na błędzie typu time-of-check time-of-use (TOCTOU) w funkcji ObjectInputStream.readObject w pliku GrammarDependencies.java komponentu Maven Plugin. Atak wymaga lokalnego dostępu i jest trudny do przeprowadzenia, ale exploit został już opublikowany.
- CVE-2026-13501Średnie
Wykryto podatność w ANTLR4 do wersji 4.13.2, dotyczącą funkcji GoTarget w pliku GoTarget.java. Lokalny atakujący może wstrzyknąć polecenia poprzez komponent gofmt, co prowadzi do wykonania nieautoryzowanych operacji.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in antlr ANTLR4 up to 4.13.2. Affected is an unknown function of the file tool/src/org/antlr/v4/codegen/model/OutputFile.java of the component Grammar Action Block Handler. Executing a manipulation can lead to code injection. The attack may be launched remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.