CVE-2026-62392
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
W Apache Kylin wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego (OS Command Injection). Nieprawidłowa neutralizacja specjalnych elementów w parametrach konfiguracyjnych zadań może pozwolić atakującemu na wykonanie dowolnych poleceń przez backendowe API. Problem dotyczy wersji od 4 do 5.0.3.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe na serwerze, co prowadzi do pełnej kompromitacji systemu, kradzieży danych lub przerwania działania usługi.
Rekomendacja
Należy niezwłocznie zaktualizować Apache Kylin do wersji 5.0.4, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability in Apache Kylin. A backend API may bring job config parameters to OS command line. This issue affects Apache Kylin: from 4 through 5.0.3. Users are recommended to upgrade to version 5.0.4, which fixes the issue.