CVE-2026-48700
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Problem we wszystkich wersjach PCManFM-Qt od 1.1.0. Gdy ścieżka zwykłego pliku jest przekazywana jako URI w wywołaniu metody D-Bus org.freedesktop.FileManager1.ShowFolders, PCManFM-Qt deleguje zadanie do innego programu (na podstawie typu pliku) bez potwierdzenia użytkownika. Może to zostać wykorzystane do wykonania kodu lub ominięcia ograniczeń przestrzeni nazw sieciowych. UWAGA: te skutki mogą być niepożądane dla większości użytkowników; jednak zachowanie produktu jest zgodne z odpowiednią specyfikacją, a proste rozwiązanie (zapewnienie, że URI nie wskazuje na zwykły plik) może mieć negatywne konsekwencje dla operacji wejścia/wyjścia.
Ocena ryzyka
Atakujący może wymusić wykonanie dowolnego kodu lub ominąć ograniczenia sieciowe, co może prowadzić do naruszenia bezpieczeństwa systemu.
Rekomendacja
Rozważ ograniczenie dostępu do D-Bus lub monitorowanie wywołań metody ShowFolders; aktualizacja może być dostępna w przyszłości.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in all versions of PCManFM-Qt starting from 1.1.0. When a regular file's path is passed as a URI in an org.freedesktop.FileManager1.ShowFolders D-Bus method call, PCManFM-Qt delegates to a different program (based on the file type) without user confirmation. This could be used to achieve code execution or circumvent network namespace restrictions. NOTE: those outcomes are potentially unwanted by most users; however, the behavior of the product does comply with the applicable specification, and a simplistic solution (ensuring that the URI does not name a regular file) may have adverse consequences for I/O.