CVE-2026-18390
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie poleceń systemu operacyjnego (OS command injection) w edytorze dokumentów UYAP przed wersją 5.4.20 na Windows i Linux oraz przed 5.4.21 na iOS. Niewłaściwa neutralizacja specjalnych elementów pozwala na wykonanie dowolnych poleceń systemowych.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia na serwerze lub urządzeniu, co może prowadzić do pełnej kompromitacji systemu i naruszenia danych.
Rekomendacja
Zaktualizuj UYAP Document Editor do wersji 5.4.20 (Windows/Linux) lub 5.4.21 (iOS) lub nowszej, która zawiera poprawkę.
Inne podatności w UYAP Document Editor
Zobacz wszystkie- CVE-2026-12613Wysokie
W UYAP Document Editor (Windows, Linux, MacOS) przed wersją 5.4.20/5.4.21 znaleziono podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów (Object Injection).
- CVE-2026-16999Średnie
UYAP Document Editor (Ministerstwo Sprawiedliwości) ma podatność związaną z nieprawidłowym ograniczeniem zewnętrznych encji XML (XXE), co pozwala na zewnętrzne łączenie danych seryjnych. Podatność dotyczy wersji od 4.5.17 przed 5.4.17.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of special elements used in an OS command ('OS command injection') vulnerability in Ministry of Justice General Directorate of Information Technology UYAP Document Editor on Windows and Linux and Ministry of Justice General Directorate of Information Technology UYAP Document Editor on iOS allows OS Command Injection. This issue affects UYAP Document Editor: before 5.4.20; UYAP Document Editor: before 5.4.21.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS