CVE-2026-44451
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Lumiverse przed wersją 0.9.7 zawiera lukę w systemie nadpisywania komponentów, która transpiluje TSX przez Sucrase i wykonuje go za pomocą new Function, z cieniowaniem niebezpiecznych globali. Ochrona statyczna i cieniowanie są omijane przez rekonstrukcję identyfikatorów z fragmentów stringów oraz ucieczkę z piaskownicy przez DOM. Złośliwy pakiet motywu (.lumitheme) może uruchomić kod w sesji uwierzytelnionego użytkownika.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w kontekście sesji ofiary, prowadząc do kradzieży danych lub przejęcia konta.
Rekomendacja
Zaktualizuj Lumiverse do wersji 0.9.7 lub nowszej.
Inne podatności w Lumiverse
Zobacz wszystkie- CVE-2026-44450Krytyczne
Podatność w Lumiverse (aplikacja AI chat) przed wersją 0.9.7 pozwala zalogowanemu użytkownikowi na wykonanie dowolnego kodu na serwerze poprzez endpoint MCP server creation. Atakujący może użyć flagi -e lub -c w args, co prowadzi do zdalnego wykonania kodu. Serwer nasłuchuje na wszystkich interfejsach, a ochrona przed host-header rebinding jest łatwa do ominięcia.
- CVE-2026-44449Krytyczne
Lumiverse przed wersją 0.9.7 zawiera podatność na wstrzykiwanie poleceń w funkcji obsługującej ścieżki SMB. Gdy główna metoda toSmbPath zawiedzie, kod używa niezweryfikowanej nazwy pliku (basename) w skrypcie smbclient, co pozwala na wykonanie dowolnych poleceń przez wstrzyknięcie separatora ';' lub lokalnego escape '!cmd'.
- CVE-2026-44444Krytyczne
Podatność w aplikacji Lumiverse – proces budowania rozszerzenia Spindle uruchamia `bun install` bez flagi `--ignore-scripts`, co pozwala złośliwemu rozszerzeniu na wykonanie kodu na hoście przed skanowaniem bezpieczeństwa. Luka naprawiona w wersji 0.9.7.
- CVE-2026-44443Średnie
W aplikacji Lumiverse przed wersją 0.9.7 funkcja consumeNonce() nie weryfikuje wartości z żądania HTTP ani nie wiąże nonce z sesją administratora. Jeśli rejestracja administratora nie powiedzie się przed wywołaniem haka (np. z powodu duplikatu e-maila), nonce pozostaje ustawiony i może zostać wykorzystany przez atakującego w ciągu 10-sekundowego okna do rejestracji nieautoryzowanego konta.
Oryginalny opis (angielski, źródło NVD)
Lumiverse is a full-featured AI chat application. Prior to 0.9.7, the component override system transpiles user-supplied TSX via Sucrase and evaluates it with new Function, shadowing dangerous globals (fetch, window, eval, etc.) with undefined. A static source validator (validateComponentOverrideSource) additionally blocks these identifiers by word-boundary regex. Both controls are bypassed. String-split bypass of the static validator: any blocked identifier can be reconstructed at runtime from string fragments ('ownerDoc' + 'ument'). DOM ref escape from the sandbox: useRef and useEffect are provided in scope. A ref attached to a rendered element gives a live DOM node. From any real DOM node, node['ownerDoc'+'ument']['def'+'aultView'] yields the real window, bypassing all identifier shadows. Theme packs (.lumitheme / .lumiverse-theme) are the shareable delivery mechanism. A malicious pack is an exploit path: the victim imports the file, enables one component override in the Theme Editor, and the payload fires in their authenticated session.This vulnerability is fixed in 0.9.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS