CVE-2026-13501
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 — wyżej niż 48% wszystkich znanych CVE
Streszczenie
Wykryto podatność w ANTLR4 do wersji 4.13.2, dotyczącą funkcji GoTarget w pliku GoTarget.java. Lokalny atakujący może wstrzyknąć polecenia poprzez komponent gofmt, co prowadzi do wykonania nieautoryzowanych operacji.
Ocena ryzyka
Ryzyko polega na możliwości lokalnego wykonania dowolnych poleceń przez atakującego, co może prowadzić do eskalacji uprawnień lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastowe zablokowanie dostępu do podatnej wersji ANTLR4 oraz zastosowanie tymczasowych zabezpieczeń, takich jak ograniczenie uprawnień lokalnych użytkowników. Należy monitorować aktualizacje producenta.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in antlr ANTLR4 up to 4.13.2. Affected by this vulnerability is the function GoTarget of the file tool/src/org/antlr/v4/codegen/target/GoTarget.java of the component gofmt. The manipulation leads to command injection. The attack can only be performed from a local environment. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.