CVE-2026-93533

ŚrednieCVSS 6.3

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.11%

Percentyl 65 - wyżej niż 65% wszystkich znanych CVE

Streszczenie

W komponencie Doctor Command Handler pakietu spatie Scotty do wersji 1.4.4 występuje podatność na wstrzyknięcie poleceń systemu operacyjnego poprzez argument host. Funkcje DoctorCommand::checkSshConnectivity i DoctorCommand::checkRemoteTools umożliwiają zdalny atak.

Ocena ryzyka

Zdalny atakujący może wykonać dowolne polecenia systemowe na serwerze, co może prowadzić do pełnej kompromitacji systemu.

Rekomendacja

Należy śledzić status proponowanej poprawki (pull request) i po jej wydaniu niezwłocznie ją zastosować. Do tego czasu ograniczyć dostęp do funkcji diagnostycznych.

Inne podatności w Spatie Scotty

CVE-2026-93534Średnie
W komponencie Self Update Handler pakietu spatie Scotty do wersji 1.4.2 występuje podatność polegająca na pobieraniu kodu bez sprawdzania integralności. Funkcja SelfUpdater::update umożliwia zdalne przeprowadzenie ataku.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in spatie Scotty up to 1.4.4. This impacts the function DoctorCommand::checkSshConnectivity/DoctorCommand::checkRemoteTools of the file app/Commands/DoctorCommand.php of the component Doctor Command Handler. This manipulation of the argument host causes os command injection. It is possible to initiate the attack remotely. The pull request to fix this issue awaits acceptance.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS