CVE-2026-47114
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
IINA przed wersją 1.4.3 zawiera podatność umożliwiającą zdalne wykonanie kodu poprzez dostarczenie złośliwych parametrów zapytania z prefiksem mpv_ w schemacie URL iina://open. Atakujący może przekazać spreparowany URL przez przeglądarkę, który bez walidacji przekaże parametry mpv_options/input-commands do środowiska mpv, co prowadzi do wykonania dowolnych poleceń na koncie bieżącego użytkownika macOS po zatwierdzeniu monitu przeglądarki, bez potrzeby dostarczania prawidłowego pliku multimedialnego.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości zdalnego wykonania dowolnych poleceń na stacjach macOS użytkowników, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub instalacji złośliwego oprogramowania.
Rekomendacja
Należy niezwłocznie zaktualizować IINA do wersji 1.4.3 lub nowszej. Dodatkowo zaleca się poinformowanie użytkowników o ryzyku związanym z klikaniem w nieznane linki iina:// oraz rozważenie blokady tego schematu URL w politykach bezpieczeństwa przeglądarek.
Oryginalny opis (angielski, źródło NVD)
IINA before 1.4.3 contains a user-assisted command execution vulnerability that allows remote attackers to execute arbitrary commands by supplying malicious mpv_-prefixed query parameters through the iina://open custom URL scheme handler. Attackers can deliver a crafted URL via a browser that passes unvalidated mpv_options/input-commands parameters into the mpv runtime, causing arbitrary command execution as the current macOS user upon approval of the browser protocol prompt without requiring a valid media file.