CVE-2026-44444
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Podatność w aplikacji Lumiverse – proces budowania rozszerzenia Spindle uruchamia `bun install` bez flagi `--ignore-scripts`, co pozwala złośliwemu rozszerzeniu na wykonanie kodu na hoście przed skanowaniem bezpieczeństwa. Luka naprawiona w wersji 0.9.7.
Ocena ryzyka
Ryzyko zdalnego wykonania kodu – administrator instalujący rozszerzenie może nieświadomie uruchomić złośliwy kod, co prowadzi do przejęcia systemu.
Rekomendacja
Zaktualizuj Lumiverse do wersji 0.9.7 lub nowszej. Przed instalacją rozszerzeń ręcznie sprawdzaj ich zawartość.
Oryginalny opis (angielski, źródło NVD)
Lumiverse is a full-featured AI chat application. Prior to 0.9.7, the Spindle extension build pipeline calls bun install without the --ignore-scripts flag before running the static backend safety scan (assertSafeBackendBundle). A malicious extension that ships a package.json with a preinstall, postinstall, or prepare lifecycle script achieves host-level code execution the moment an admin presses Install before any dist file is inspected. This vulnerability is fixed in 0.9.7.