CVE-2026-90690
WysokieCVSS 7.3Streszczenie
Zidentyfikowano słabość w 0x4m4 HexStrike AI w funkcji subprocess.Popen pliku hexstrike_server.py (komponent API Tools Endpoint). Manipulacja argumentami additional_args/target/username/password/scan_type/payload może prowadzić do wstrzyknięcia poleceń systemu operacyjnego. Atak może być zdalny, a exploit jest publicznie dostępny.
Ocena ryzyka
Wstrzyknięcie poleceń OS może pozwolić na wykonanie dowolnego kodu na serwerze, prowadząc do pełnego przejęcia systemu. Publiczny exploit zwiększa ryzyko ataku.
Rekomendacja
Należy niezwłocznie załatać kod w hexstrike_server.py, unikając przekazywania danych użytkownika do subprocess.Popen bez walidacji. Do czasu poprawki zaleca się wyłączenie lub ograniczenie dostępu do API Tools Endpoint.
Inne podatności w HexStrike AI
Zobacz wszystkie- CVE-2026-90691Wysokie
Wykryto podatność w 0x4m4 HexStrike AI w funkcji FileOperationsManager pliku hexstrike_server.py (komponent API Files Endpoint). Manipulacja argumentem filename prowadzi do path traversal. Atak może być zdalny, a exploit jest publicznie ujawniony.
- CVE-2026-90620Wysokie
W projekcie 0x4m4 HexStrike AI (do commita d689933ff579d839c676c82b231f8e98326c5f04) wykryto podatność braku uwierzytelniania w nieznanej funkcji pliku hexstrike_server.py (komponent API Command Endpoint). Manipulacja pozwala na nieautoryzowany dostęp. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Projekt używa wydań ciągłych (rolling release), więc brak szczegółów wersji.
- CVE-2026-90619Wysokie
W projekcie 0x4m4 HexStrike AI (do commita d689933ff579d839c676c82b231f8e98326c5f04) wykryto podatność wstrzyknięcia poleceń systemu operacyjnego w nieznanej funkcji pliku hexstrike_server.py (komponent Execute Endpoint). Manipulacja argumentem code/script prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Projekt używa wydań ciągłych (rolling release), więc brak szczegółów wersji.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in 0x4m4 HexStrike AI up to d689933ff579d839c676c82b231f8e98326c5f04. The affected element is the function subprocess.Popen of the file hexstrike_server.py of the component API Tools Endpoint. Executing a manipulation of the argument additional_args/target/username/password/scan_type/payload can lead to os command injection. The attack can be launched remotely. The exploit has been made available to the public and could be used for attacks. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. A fix appears to be in progress.