CVE-2026-73615
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Network-AI przed wersją 5.15.1 zawiera podatność polegającą na obejściu matchera zabezpieczeń, gdzie SandboxPolicy ocenia surowe ciągi poleceń z zachowanymi cudzysłowami, podczas gdy executor tokenizuje polecenia, usuwając cudzysłowy przed wykonaniem. Atakujący mogą tworzyć polecenia z cudzysłowami, które omijają listy blokad i bramki zatwierdzania, podczas gdy executor wykonuje identyczne niecytowane niebezpieczne argv.
Ocena ryzyka
Ryzyko obejścia kontroli bezpieczeństwa i wykonania nieautoryzowanych poleceń w środowisku Network-AI, co może prowadzić do naruszenia integralności systemu i nieautoryzowanego dostępu.
Rekomendacja
Zaleca się natychmiastową aktualizację Network-AI do wersji 5.15.1 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Network-AI versions before 5.15.1 contain a security matcher bypass vulnerability where SandboxPolicy evaluates raw command strings with quotes preserved while the executor tokenizes commands by stripping quotes before execution. Attackers can craft quoted commands that evade blocklist checks and approval gates while the executor runs the identical unquoted dangerous argv.