CVE-2026-48098

WysokieCVSS 7.3

Opublikowano: 07/08/2026(UTC)Zaktualizowano: 07/08/2026(UTC)Przetłumaczono: 08/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

NexTor IP Changer przed wersją 2.0.0 wykonuje uprzywilejowane polecenia systemowe za pomocą `sudo` i `shell=True` bezpośrednio w logice aplikacji. W środowiskach z włączonym sudo bez hasła (NOPASSWD) uprzywilejowane polecenia mogą być wykonywane bez wyraźnego potwierdzenia użytkownika.

Ocena ryzyka

Może to prowadzić do nieautoryzowanego wykonywania poleceń z podwyższonymi uprawnieniami, co stanowi poważne zagrożenie bezpieczeństwa.

Rekomendacja

Zaktualizuj NexTor IP Changer do wersji 2.0.0, która naprawia ten problem.

Inne podatności w NexTor IP Changer

CVE-2026-48097Wysokie
NexTor IP Changer przed wersją 2.0.0 ma podatność na wykonanie kodu z powodu niebezpiecznego użycia `shell=True` z poleceniami, które polegają na rozwiązywaniu ścieżek przez zmienną środowiskową PATH. Atakujący kontrolujący środowisko może umieścić złośliwe pliki wykonywalne wcześniej w PATH, co prowadzi do wykonania kodu.

Oryginalny opis (angielski, źródło NVD)

NexTor IP Changer is a command-line tool that leverages the Tor network to periodically rotate a user's IP address. Versions prior to 2.0.0 execute privileged system commands using `sudo` and `shell=True` directly inside application logic. In environments where passwordless sudo (`NOPASSWD`) is enabled, privileged commands may execute silently without explicit user confirmation. Version 2.0.0 fixes the issue.