CVE-2026-44449
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Lumiverse przed wersją 0.9.7 zawiera podatność na wstrzykiwanie poleceń w funkcji obsługującej ścieżki SMB. Gdy główna metoda toSmbPath zawiedzie, kod używa niezweryfikowanej nazwy pliku (basename) w skrypcie smbclient, co pozwala na wykonanie dowolnych poleceń przez wstrzyknięcie separatora ';' lub lokalnego escape '!cmd'.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia na serwerze Lumiverse, co prowadzi do pełnego przejęcia kontroli nad aplikacją i potencjalnie całym systemem.
Rekomendacja
Niezwłocznie zaktualizuj Lumiverse do wersji 0.9.7 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Lumiverse is a full-featured AI chat application. Prior to 0.9.7, when the primary toSmbPath(fullPath) call throws, the method falls back to a dirname/basename split and only validates the directory prefix. The basename is concatenated directly into the smbclient -c script without validation. smbclient interprets ; as a subcommand separator and !cmd as a local-shell escape that runs cmd on the host. A path whose directory component is clean but whose basename contains "; !<cmd>; echo " achieves arbitrary command execution on the Lumiverse server. This vulnerability is fixed in 0.9.7.