CVE-2026-50228

ŚrednieCVSS 6.1

Opublikowano: 23/09/2026(UTC)Zaktualizowano: 25/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Nieuwierzytelniony lokalny atakujący może połączyć się z punktem końcowym Electron DevTools udostępnianym przez oprogramowanie Acer NitroSense (wersje do 5.2.63 włącznie) na lokalnym porcie TCP 9993. Ponieważ zdalne debugowanie Chromium jest włączone w aplikacji produkcyjnej, atakujący może wykonać JavaScript w uprzywilejowanym kontekście aplikacji i osiągnąć dowolne wykonanie kodu.

Ocena ryzyka

Lokalny atakujący może uzyskać pełną kontrolę nad aplikacją i wykonać dowolny kod w jej kontekście, co może prowadzić do przejęcia systemu lub eskalacji uprawnień. Wymaga to jednak wcześniejszego dostępu do maszyny.

Rekomendacja

Zaktualizuj Acer NitroSense do wersji nowszej niż 5.2.63, która wyłącza zdalne debugowanie w wersji produkcyjnej. Ogranicz dostęp lokalny do portu 9993 oraz rozważ zablokowanie go zaporą sieciową.

Inne podatności w Acer NitroSense

CVE-2026-50227Średnie
Nieuwierzytelniony lokalny atakujący może połączyć się z brokerem MQTT poprzez jego lokalny punkt końcowy WebSocket w oprogramowaniu Acer NitroSense (wersje do 5.2.62 włącznie). Pozwala to atakującemu na wywołanie udostępnionych funkcji RPC ddsc, w tym child_process.execSync(), co skutkuje dowolnym wykonaniem poleceń w kontekście aplikacji.

Oryginalny opis (angielski, źródło NVD)

An unauthenticated local attacker can connect to the Electron DevTools endpoint exposed by Acer NitroSense software (versions up to and including 5.2.63) on localhost TCP port 9993. Because Chromium remote debugging is enabled in the production application, the attacker can execute JavaScript in the privileged application context and achieve arbitrary code execution.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS