CVE-2026-76760
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność w chenhg5 cc-connect do wersji 1.4.1 w funkcji Authenticate pliku core/webhook.go umożliwia zdalne wstrzyknięcie kodu poprzez argument exec. Exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod, co może prowadzić do naruszenia integralności systemu lub kradzieży danych.
Rekomendacja
Zaktualizuj cc-connect do najnowszej wersji lub zastosuj dostępne poprawki bezpieczeństwa.
Inne podatności w cc-connect
Zobacz wszystkie- CVE-2026-108549Wysokie
cc-connect do wersji 1.5.0 zawiera podatność braku uwierzytelniania w trybie webhook adaptera MAX. Gdy nie skonfigurowano webhook_secret, zdalni atakujący mogą wysyłać nieuwierzytelnione aktualizacje na port 8080 i podszywać się pod dozwolonego użytkownika lub administratora, aby wykonywać uprzywilejowane komendy, takie jak /shell na hoście.
- CVE-2026-92801Wysokie
cc-connect do wersji 1.5.0 nie egzekwuje filtrowania listy dozwolonych użytkowników w handlerze onCardAction dla wywołań zwrotnych interaktywnych kart Feishu. Atakujący mogą wywoływać polecenia agenta poprzez akcje kart w zatwierdzonych czatach, omijając kontrolę dostępu na poziomie użytkownika, która chroni handler wiadomości tekstowych.
- CVE-2026-76761Wysokie
Podatność w chenhg5 cc-connect do wersji 1.4.1 w funkcji shellExecCommand pliku core/engine.go komponentu Management API umożliwia zdalne wstrzyknięcie komend systemu operacyjnego poprzez argument exec. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in chenhg5 cc-connect up to 1.4.1. Affected by this vulnerability is the function Authenticate of the file core/webhook.go. The manipulation of the argument exec results in code injection. The attack may be performed from remote. The exploit has been made public and could be used. The reported GitHub issue was closed automatically due to inactivity.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS