CVE-2026-9453

WysokieCVSS 7.3

Opublikowano: 25/05/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.39%

Percentyl 69 - wyżej niż 69% wszystkich znanych CVE

Streszczenie

W FoundDream miniclawd do wersji 2d65665046e2222eeea76cafc8570ed546a8c125 stwierdzono podatność na wstrzykiwanie poleceń w komponencie SkillsLoader. Manipulacja argumentem requires.bins w pliku /src/application/skills-loader.ts umożliwia zdalne wykonanie kodu. Exploit jest publicznie dostępny. Produkt nie ma wersjonowania, a projekt nie odpowiedział na zgłoszenie problemu.

Ocena ryzyka

Zdalny atakujący może wykonać dowolne polecenia na serwerze, co może prowadzić do przejęcia kontroli nad aplikacją i danymi. Publiczny exploit zwiększa ryzyko natychmiastowego ataku.

Rekomendacja

Należy natychmiast odizolować system od sieci lub zastosować tymczasowe zabezpieczenia (np. firewall blokujący dostęp do podatnego endpointu). Monitoruj repozytorium projektu w poszukiwaniu poprawek.

Inne podatności w FoundDream miniclawd

CVE-2026-9452Wysokie
W FoundDream miniclawd do wersji 2d65665046e2222eeea76cafc8570ed546a8c125 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji ExecTool.execute w pliku /src/tools/exec.ts. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Produkt nie ma wersjonowania, a projekt nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was detected in FoundDream miniclawd up to 2d65665046e2222eeea76cafc8570ed546a8c125. This affects the function which of the file /src/application/skills-loader.ts of the component SkillsLoader. Performing a manipulation of the argument requires.bins results in command injection. The attack may be initiated remotely. The exploit is now public and may be used. This product uses a rolling release model to deliver continuous updates. As a result, specific version information for affected or updated releases is not available. The project was informed of the problem early through an issue report but has not responded yet.