CVE-2026-44469

WysokieCVSS 7.8

Opublikowano: 26/05/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Podatność w produkcie, który podczas instalacji administracyjnej rozpakowuje pliki do katalogu tymczasowego z nieprawidłowymi domyślnymi uprawnieniami. Lokalny atakujący z niskimi uprawnieniami może wykorzystać warunek wyścigu TOCTOU, aby zastąpić zweryfikowane pliki złośliwymi przed instalacją, co prowadzi do lokalnej eskalacji uprawnień.

Ocena ryzyka

Atakujący może uzyskać podwyższone uprawnienia, instalując złośliwe pliki podczas procesu instalacji, co może prowadzić do pełnej kompromitacji systemu.

Rekomendacja

Zastosuj poprawkę od producenta, która usuwa lukę TOCTOU i poprawia uprawnienia do katalogu tymczasowego.

Inne podatności w Unknown product

CVE-2024-6423Średnie
Produkt nie wymusza ograniczeń walidacji na danych wejściowych dostarczanych przez użytkownika w parametrach URL, co pozwala na przekazanie poufnych danych do przepływów, w których nie powinny być przetwarzane. Choć produkt nie wykorzystuje tych danych, ich akceptacja może prowadzić do ich zalogowania w logach dostępu, potencjalnie ujawniając informacje poufne.

Oryginalny opis (angielski, źródło NVD)

The affected product extracts installation files to a temporary directory with incorrect default permissions during administrative installation. A low-privileged local attacker can exploit a TOCTOU race condition with a practical time window to replace verified files with malicious ones before installation, resulting in local privilege escalation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS