CVE-2026-44449
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Lumiverse przed wersją 0.9.7 zawiera podatność na wstrzykiwanie poleceń w funkcji obsługującej ścieżki SMB. Gdy główna metoda toSmbPath zawiedzie, kod używa niezweryfikowanej nazwy pliku (basename) w skrypcie smbclient, co pozwala na wykonanie dowolnych poleceń przez wstrzyknięcie separatora ';' lub lokalnego escape '!cmd'.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia na serwerze Lumiverse, co prowadzi do pełnego przejęcia kontroli nad aplikacją i potencjalnie całym systemem.
Rekomendacja
Niezwłocznie zaktualizuj Lumiverse do wersji 0.9.7 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w Lumiverse
Zobacz wszystkie- CVE-2026-44451Krytyczne
Lumiverse przed wersją 0.9.7 zawiera lukę w systemie nadpisywania komponentów, która transpiluje TSX przez Sucrase i wykonuje go za pomocą new Function, z cieniowaniem niebezpiecznych globali. Ochrona statyczna i cieniowanie są omijane przez rekonstrukcję identyfikatorów z fragmentów stringów oraz ucieczkę z piaskownicy przez DOM. Złośliwy pakiet motywu (.lumitheme) może uruchomić kod w sesji uwierzytelnionego użytkownika.
- CVE-2026-44450Krytyczne
Podatność w Lumiverse (aplikacja AI chat) przed wersją 0.9.7 pozwala zalogowanemu użytkownikowi na wykonanie dowolnego kodu na serwerze poprzez endpoint MCP server creation. Atakujący może użyć flagi -e lub -c w args, co prowadzi do zdalnego wykonania kodu. Serwer nasłuchuje na wszystkich interfejsach, a ochrona przed host-header rebinding jest łatwa do ominięcia.
- CVE-2026-44444Krytyczne
Podatność w aplikacji Lumiverse – proces budowania rozszerzenia Spindle uruchamia `bun install` bez flagi `--ignore-scripts`, co pozwala złośliwemu rozszerzeniu na wykonanie kodu na hoście przed skanowaniem bezpieczeństwa. Luka naprawiona w wersji 0.9.7.
- CVE-2026-44443Średnie
W aplikacji Lumiverse przed wersją 0.9.7 funkcja consumeNonce() nie weryfikuje wartości z żądania HTTP ani nie wiąże nonce z sesją administratora. Jeśli rejestracja administratora nie powiedzie się przed wywołaniem haka (np. z powodu duplikatu e-maila), nonce pozostaje ustawiony i może zostać wykorzystany przez atakującego w ciągu 10-sekundowego okna do rejestracji nieautoryzowanego konta.
Oryginalny opis (angielski, źródło NVD)
Lumiverse is a full-featured AI chat application. Prior to 0.9.7, when the primary toSmbPath(fullPath) call throws, the method falls back to a dirname/basename split and only validates the directory prefix. The basename is concatenated directly into the smbclient -c script without validation. smbclient interprets ; as a subcommand separator and !cmd as a local-shell escape that runs cmd on the host. A path whose directory component is clean but whose basename contains "; !<cmd>; echo " achieves arbitrary command execution on the Lumiverse server. This vulnerability is fixed in 0.9.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS