CVE-2026-13500
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 — wyżej niż 23% wszystkich znanych CVE
Streszczenie
W bibliotece ANTLR4 do wersji 4.13.2 wykryto podatność w funkcji obsługi bloków akcji gramatyki w pliku OutputFile.java. Manipulacja danymi wejściowymi może prowadzić do zdalnego wstrzyknięcia kodu. Publicznie dostępny exploit umożliwia ataki.
Ocena ryzyka
Organizacja narażona jest na zdalne przejęcie kontroli nad systemem poprzez wstrzyknięcie złośliwego kodu do aplikacji korzystających z podatnej wersji ANTLR4. Atak może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę ANTLR4 do wersji nowszej niż 4.13.2, jeśli taka jest dostępna, lub zastosować tymczasowe zabezpieczenia, takie jak filtrowanie danych wejściowych przetwarzanych przez gramatykę.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in antlr ANTLR4 up to 4.13.2. Affected is an unknown function of the file tool/src/org/antlr/v4/codegen/model/OutputFile.java of the component Grammar Action Block Handler. Executing a manipulation can lead to code injection. The attack may be launched remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.