CVE-2026-5594
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność na wstrzyknięcie kodu w premAI-io premsql do wersji 0.2.1. Funkcja eval w pliku premsql/agents/baseline/workers/followup.py pozwala na manipulację argumentem result, co prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykonać dowolny kod na serwerze, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaleca się natychmiastowe odizolowanie systemu i zastosowanie tymczasowych zabezpieczeń (np. firewall) do czasu wydania łatki przez producenta.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in premAI-io premsql up to 0.2.1. Affected is the function eval of the file premsql/agents/baseline/workers/followup.py. This manipulation of the argument result causes code injection. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.