CVE-2026-110236

WysokieCVSS 7.0

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.05%

Percentyl 64 - wyżej niż 64% wszystkich znanych CVE

Streszczenie

KDE Dolphin od wersji 24.08.0 do 26.08.2 zawiera podatność wstrzykiwania poleceń systemu operacyjnego, która pozwala atakującym na wykonywanie poleceń poprzez dostarczenie spreparowanych nazw folderów podstawianych do symbolu zastępczego {path}. Atakujący mogą osadzić podwójny cudzysłów i metaznaki powłoki w nazwie katalogu, aby ominąć cytowanie w slotDoubleClickViewBackground, wykonując polecenia, gdy ofiary klikną dwukrotnie tło widoku.

Ocena ryzyka

Atakujący może wykonać dowolne polecenia w kontekście ofiary, co może prowadzić do przejęcia systemu lub kradzieży danych.

Rekomendacja

Zaktualizuj KDE Dolphin do wersji 26.08.2 lub nowszej i unikaj otwierania folderów z podejrzanymi nazwami.

Inne podatności w KDE Dolphin

CVE-2026-41525Średnie
KDE Dolphin w wersjach przed 25.12.3 pozwala aplikacjom w Flatpak (lub z ograniczeniami AppArmor) otwierać foldery poza piaskownicą aplikacji bez dodatkowej weryfikacji. Implementacja protokołu FileManager1 pozwala, aby podana ścieżka wskazywała dowolny typ pliku, w tym skrypty lub pliki wykonywalne. Domyślnie Dolphin wyświetla użytkownikowi monit o zgodę na uruchomienie, jednak zamierzonym zachowaniem powinno być zablokowanie akcji, a nie monit o zgodę.

Oryginalny opis (angielski, źródło NVD)

KDE Dolphin 24.08.0 through 26.08.2 contains an OS command injection vulnerability that allows attackers to execute commands by supplying crafted folder names substituted into the {path} placeholder. Attackers can embed a double quote and shell metacharacters in a directory name to escape quoting in slotDoubleClickViewBackground, executing commands when victims double-click the view background.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS