CVE-2026-18264
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 83 - wyżej niż 83% wszystkich znanych CVE
Streszczenie
Podatność w NoMachine w usłudze getstat wynika z braku odpowiedniej walidacji ciągu znaków przed wykonaniem wywołania systemowego. Zdalny atakujący z uwierzytelnieniem może wykorzystać ten błąd do wykonania dowolnego kodu w kontekście konta usługi.
Ocena ryzyka
Ryzyko dla organizacji to możliwość zdalnego wykonania kodu przez uwierzytelnionego atakującego, co może prowadzić do przejęcia kontroli nad usługą i dostępem do danych.
Rekomendacja
Zaleca się zaktualizowanie NoMachine do najnowszej wersji oraz ograniczenie dostępu do portu 4000 tylko dla zaufanych użytkowników.
Inne podatności w NoMachine
Zobacz wszystkie- CVE-2017-12763Wysokie
Nieokreślona usługa serwerowa w NoMachine przed wersją 5.3.10 na systemach Mac OS X i Linux umożliwia uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez dostęp do lokalnych plików.
- CVE-2026-92209Wysokie
Podatność w mechanizmie uwierzytelniania kontrolującym dostęp do bazy Redis w NoMachine wynika z niewystarczającej entropii przy generowaniu poświadczeń. Lokalny atakujący z możliwością wykonania kodu o niskich uprawnieniach może wykorzystać tę lukę do eskalacji uprawnień i wykonania dowolnego kodu w kontekście konta usługi.
- CVE-2026-92208Wysokie
NoMachine mDNS zawiera podatność przepełnienia bufora opartego na stercie, umożliwiającą zdalne wykonanie kodu. Luka występuje w parsowaniu rekordów zasobów mDNS z powodu braku właściwej walidacji długości danych dostarczonych przez użytkownika przed skopiowaniem ich do bufora stercowego. Atakujący może wykorzystać tę podatność do wykonania kodu w kontekście konta usługi.
- CVE-2026-111184Wysokie
Podatność w NoMachine Device Service wynika z nieprawidłowych uprawnień do nazwanego potoku (named pipe). Lokalny atakujący z możliwością uruchomienia kodu o niskich uprawnieniach może wykorzystać tę lukę do eskalacji uprawnień i wykonania dowolnego kodu w kontekście SYSTEM.
- CVE-2026-53694Wysokie
W produkcie NoMachine przed wersjami 9.5.7 i 8.23.2 wykryto podatność na wstrzykiwanie argumentów (Argument Injection). Luka wynika z nieprawidłowej neutralizacji ograniczników argumentów w poleceniach, co umożliwia atakującemu wstrzyknięcie złośliwych argumentów.
- CVE-2025-8614Wysokie
Podatność podniesienia uprawnień w NoMachine wynikająca z niekontrolowanego elementu ścieżki wyszukiwania. Produkt ładuje plik konfiguracyjny OpenSSL z niezabezpieczonej lokalizacji, co pozwala lokalnemu atakującemu z możliwością wykonania kodu o niskich uprawnieniach na eskalację uprawnień i wykonanie dowolnego kodu w kontekście konta usługi.
Oryginalny opis (angielski, źródło NVD)
NoMachine getstat Command Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of NoMachine. Authentication is required to exploit this vulnerability. The specific flaw exists within the web service, which listens on TCP port 4000 by default. The issue results from the lack of proper validation of a user-supplied string before using it to execute a system call. An attacker can leverage this vulnerability to execute code in the context of the service account. . Was ZDI-CAN-30634.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS