CVE-2026-76761
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 74 - wyżej niż 74% wszystkich znanych CVE
Streszczenie
Podatność w chenhg5 cc-connect do wersji 1.4.1 w funkcji shellExecCommand pliku core/engine.go komponentu Management API umożliwia zdalne wstrzyknięcie komend systemu operacyjnego poprzez argument exec. Exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne komendy systemowe, co może prowadzić do pełnego przejęcia systemu lub naruszenia danych.
Rekomendacja
Zaktualizuj cc-connect do najnowszej wersji lub zastosuj dostępne poprawki bezpieczeństwa.
Inne podatności w cc-connect
Zobacz wszystkie- CVE-2026-108549Wysokie
cc-connect do wersji 1.5.0 zawiera podatność braku uwierzytelniania w trybie webhook adaptera MAX. Gdy nie skonfigurowano webhook_secret, zdalni atakujący mogą wysyłać nieuwierzytelnione aktualizacje na port 8080 i podszywać się pod dozwolonego użytkownika lub administratora, aby wykonywać uprzywilejowane komendy, takie jak /shell na hoście.
- CVE-2026-92801Wysokie
cc-connect do wersji 1.5.0 nie egzekwuje filtrowania listy dozwolonych użytkowników w handlerze onCardAction dla wywołań zwrotnych interaktywnych kart Feishu. Atakujący mogą wywoływać polecenia agenta poprzez akcje kart w zatwierdzonych czatach, omijając kontrolę dostępu na poziomie użytkownika, która chroni handler wiadomości tekstowych.
- CVE-2026-76760Wysokie
Podatność w chenhg5 cc-connect do wersji 1.4.1 w funkcji Authenticate pliku core/webhook.go umożliwia zdalne wstrzyknięcie kodu poprzez argument exec. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in chenhg5 cc-connect up to 1.4.1. This affects the function shellExecCommand of the file core/engine.go of the component Management API. Such manipulation of the argument exec leads to os command injection. It is possible to launch the attack remotely. The exploit is publicly available and might be used. The reported GitHub issue was closed automatically due to inactivity.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS