CVE-2026-68502
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
LazyOwn RedTeam/APT Framework zawiera nieuwierzytelniony handler zdarzeń Socket.IO, który przekazuje dane wejściowe do funkcji wykonującej polecenia systemowe, co pozwala na zdalne wykonanie kodu bez uwierzytelnienia.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe w procesie C2, co może prowadzić do pełnej kompromitacji serwera.
Rekomendacja
Zaktualizuj do wersji 0.2.154 lub nowszej, która usuwa tę podatność.
Oryginalny opis (angielski, źródło NVD)
LazyOwn RedTeam/APT Framework is an AI-powered C2 and red-team operations framework. Prior to 0.2.154, LazyOwn's lazyc2.py registers an unauthenticated Socket.IO input event handler that dispatches data.get('value') to LazyOwnShell.one_cmd, reaching LazyOwnShell.do_cmd and subprocess.call(command, shell=True), allowing unauthenticated remote code execution in the C2 process. This issue is fixed in 0.2.154.