CVE-2026-116118

ŚrednieCVSS 6.3

Opublikowano: 26/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.05%

Percentyl 64 - wyżej niż 64% wszystkich znanych CVE

Streszczenie

W Z.ai Zcode do wersji 3.14.3/3.15.1 wykryto podatność w nieokreślonej funkcjonalności komponentu filtra poleceń Sed. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego (OS command injection), a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Ocena ryzyka

Osoba atakująca może zdalnie wykonać dowolne polecenia systemowe w kontekście aplikacji, co grozi pełnym przejęciem hosta i dostępem do danych. Publiczna dostępność exploitu zwiększa ryzyko szybkiego ataku.

Rekomendacja

Zaktualizuj Z.ai Zcode do wersji nowszej niż 3.15.1, gdy tylko producent wyda poprawkę, i do tego czasu ogranicz dostęp sieciowy do aplikacji. Rozważ wyłączenie lub zaostrzenie filtrów poleceń Sed do czasu wdrożenia poprawki.

Inne podatności w Z.ai Zcode

CVE-2026-88755Wysokie
Narzędzie Z.ai ZCode w wersji v3.11.2.6792 automatycznie nawiązuje połączenia z serwerami MCP zadeklarowanymi w konfiguracji workspace repozytorium. Otwarcie spreparowanego repozytorium może pozwolić atakującemu na wykonanie dowolnego kodu.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in Z.ai Zcode up to 3.14.3/3.15.1. Affected by this issue is some unknown functionality of the component Sed Command Filter. The manipulation leads to os command injection. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS