CVE-2026-55061

NiskieCVSS 1.0

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

W uniget przed wersją 0.27.6 polecenie hooks edit w pliku cmd/uniget/hooks.go parsuje zmienną UNIGET_EDITOR lub EDITOR za pomocą strings.Split(editor, " ") i przekazuje każdy sufiks oddzielony spacją jako argument do wybranego edytora. Atakujący mogący wpłynąć na środowisko edytora i spowodować edycję hooka może dostarczyć nieoczekiwane argumenty edytora, potencjalnie powodując niezamierzone działania z uprawnieniami konta procesu uniget. Go os/exec nie interpretuje operatorów powłoki w tych argumentach.

Ocena ryzyka

Atakujący mogący kontrolować zmienną środowiskową edytora może wymusić wykonanie niezamierzonych działań z uprawnieniami procesu uniget, co może prowadzić do modyfikacji plików lub innych skutków ubocznych. Nie wykazano interpretacji poleceń powłoki.

Rekomendacja

Zaktualizuj uniget do wersji 0.27.6 lub nowszej. Ogranicz możliwość modyfikacji zmiennych środowiskowych UNIGET_EDITOR i EDITOR przez niezaufane podmioty.

Inne podatności w uniget

CVE-2026-55062Wysokie
W uniget (uniwersalnym instalatorze i aktualizatorze narzędzi kontenerowych) przed wersją 0.27.6 polecenie hooks edit w cmd/uniget/hooks.go łączy niezwalidowaną nazwę pliku hooka z wybranym katalogiem hooks, umożliwiając komponentom katalogu nadrzędnego wyjście poza ten katalog. Wynikowa ścieżka jest przekazywana do skonfigurowanego edytora, który może uzyskać dostęp lub modyfikować pliki poza katalogiem hooks z uprawnieniami konta procesu uniget. Luka jest naprawiona w wersji 0.27.6.

Oryginalny opis (angielski, źródło NVD)

uniget is a universal installer and updater for (container) tools. Prior to 0.27.6, the hooks edit command in cmd/uniget/hooks.go parses UNIGET_EDITOR or EDITOR with strings.Split(editor, " ") and passes every space-delimited suffix as an argument to the selected editor executable. An attacker who can influence the editor environment and cause hook editing can supply unexpected editor arguments, potentially causing unintended actions with the privileges of the uniget process account. Go os/exec does not evaluate shell operators in these arguments, so the advisory's wrapper demonstration establishes argument delivery but does not establish shell command interpretation. This issue is fixed in version 0.27.6.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS