CVE-2026-48097

WysokieCVSS 7.8

Opublikowano: 07/08/2026(UTC)Zaktualizowano: 07/08/2026(UTC)Przetłumaczono: 08/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

NexTor IP Changer przed wersją 2.0.0 ma podatność na wykonanie kodu z powodu niebezpiecznego użycia `shell=True` z poleceniami, które polegają na rozwiązywaniu ścieżek przez zmienną środowiskową PATH. Atakujący kontrolujący środowisko może umieścić złośliwe pliki wykonywalne wcześniej w PATH, co prowadzi do wykonania kodu.

Ocena ryzyka

Atakujący może wykonać dowolny kod w kontekście użytkownika uruchamiającego narzędzie, co może prowadzić do przejęcia systemu.

Rekomendacja

Zaktualizuj NexTor IP Changer do wersji 2.0.0, która naprawia ten problem.

Inne podatności w NexTor IP Changer

CVE-2026-48098Wysokie
NexTor IP Changer przed wersją 2.0.0 wykonuje uprzywilejowane polecenia systemowe za pomocą `sudo` i `shell=True` bezpośrednio w logice aplikacji. W środowiskach z włączonym sudo bez hasła (NOPASSWD) uprzywilejowane polecenia mogą być wykonywane bez wyraźnego potwierdzenia użytkownika.

Oryginalny opis (angielski, źródło NVD)

NexTor IP Changer is a command-line tool that leverages the Tor network to periodically rotate a user's IP address. Versions prior to 2.0.0 have a command execution vulnerability due to unsafe use of `shell=True` with commands that rely on executable resolution through the `PATH` environment variable. An attacker controlling the execution environment can place malicious executables such as sudo earlier in the `PATH`, resulting in execution of attacker-controlled code. Version 2.0.0 fixes the issue.