CVE-2026-44443
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W aplikacji Lumiverse przed wersją 0.9.7 funkcja consumeNonce() nie weryfikuje wartości z żądania HTTP ani nie wiąże nonce z sesją administratora. Jeśli rejestracja administratora nie powiedzie się przed wywołaniem haka (np. z powodu duplikatu e-maila), nonce pozostaje ustawiony i może zostać wykorzystany przez atakującego w ciągu 10-sekundowego okna do rejestracji nieautoryzowanego konta.
Ocena ryzyka
Atakujący może wykorzystać lukę do rejestracji nieautoryzowanego konta, co prowadzi do naruszenia integralności systemu i potencjalnego dostępu do wrażliwych danych lub funkcji administracyjnych.
Rekomendacja
Należy natychmiast zaktualizować Lumiverse do wersji 0.9.7 lub nowszej, która zawiera poprawkę usuwającą podatność.
Inne podatności w Lumiverse
Zobacz wszystkie- CVE-2026-44451Krytyczne
Lumiverse przed wersją 0.9.7 zawiera lukę w systemie nadpisywania komponentów, która transpiluje TSX przez Sucrase i wykonuje go za pomocą new Function, z cieniowaniem niebezpiecznych globali. Ochrona statyczna i cieniowanie są omijane przez rekonstrukcję identyfikatorów z fragmentów stringów oraz ucieczkę z piaskownicy przez DOM. Złośliwy pakiet motywu (.lumitheme) może uruchomić kod w sesji uwierzytelnionego użytkownika.
- CVE-2026-44450Krytyczne
Podatność w Lumiverse (aplikacja AI chat) przed wersją 0.9.7 pozwala zalogowanemu użytkownikowi na wykonanie dowolnego kodu na serwerze poprzez endpoint MCP server creation. Atakujący może użyć flagi -e lub -c w args, co prowadzi do zdalnego wykonania kodu. Serwer nasłuchuje na wszystkich interfejsach, a ochrona przed host-header rebinding jest łatwa do ominięcia.
- CVE-2026-44449Krytyczne
Lumiverse przed wersją 0.9.7 zawiera podatność na wstrzykiwanie poleceń w funkcji obsługującej ścieżki SMB. Gdy główna metoda toSmbPath zawiedzie, kod używa niezweryfikowanej nazwy pliku (basename) w skrypcie smbclient, co pozwala na wykonanie dowolnych poleceń przez wstrzyknięcie separatora ';' lub lokalnego escape '!cmd'.
- CVE-2026-44444Krytyczne
Podatność w aplikacji Lumiverse – proces budowania rozszerzenia Spindle uruchamia `bun install` bez flagi `--ignore-scripts`, co pozwala złośliwemu rozszerzeniu na wykonanie kodu na hoście przed skanowaniem bezpieczeństwa. Luka naprawiona w wersji 0.9.7.
Oryginalny opis (angielski, źródło NVD)
Lumiverse is a full-featured AI chat application. Prior to 0.9.7, consumeNonce() only checks that the module-level variable is set and unexpired. It does not validate any value from the incoming HTTP request or bind the nonce to the admin's session. If the admin's auth.api.signUpEmail() call fails before the before hook fires (e.g. BetterAuth rejects a duplicate email at the validation layer), the nonce is set but never consumed. Any POST /api/auth/sign-up/email request that arrives during the remaining window registers successfully regardless of who sent it. An attacker who can observe or predict when the admin is creating users (must be a dupplicate user) can race the 10-second window to register an unauthorized account. This vulnerability is fixed in 0.9.7.