CVE-2026-50292

WysokieCVSS 7.4

Opublikowano: 04/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.50%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

W libinput przed wersjami 1.30.4 i 1.31.3, nieuciekający (unescaped) output phys z libinput-device-group może wstrzykiwać właściwości udev, prowadząc do dowolnego wykonania kodu z uprawnieniami roota.

Ocena ryzyka

Atakujący może uzyskać pełną kontrolę nad systemem (root) poprzez wstrzyknięcie właściwości udev, co może prowadzić do całkowitego przejęcia systemu.

Rekomendacja

Zaleca się aktualizację libinput do wersji 1.30.4 lub 1.31.3, które zawierają poprawkę unikania outputu phys.

Inne podatności w libinput

CVE-2026-35093Wysokie
W bibliotece libinput wykryto lukę umożliwiającą lokalnemu atakującemu ominięcie zabezpieczeń poprzez umieszczenie spreparowanego pliku bytecode Lua w katalogach konfiguracyjnych systemu lub użytkownika. Atakujący może uruchomić nieautoryzowany kod z uprawnieniami programu korzystającego z libinput, np. kompozytora graficznego. Może to prowadzić do monitorowania wprowadzanych danych z klawiatury i wysyłania ich na zewnątrz.

Oryginalny opis (angielski, źródło NVD)

In libinput before 1.30.4 and 1.31.x before 1.31.3, libinput-device-group unescaped phys output can inject udev properties leading to arbitrary root code execution