CVE-2026-22584

Code Injection w Salesforce Uni2TS — zdalne wykonanie kodu

CVSS 9.8v3.1pub. 2026-01-09upd. 2026-01-22

Podatność typu code injection w bibliotece Salesforce Uni2TS umożliwia atakującemu wykonanie arbitralnego kodu bez uwierzytelnienia. Krytyczna ocena CVSS 9.8 oznacza, że exploit może być przeprowadzony zdalnie, bez żadnych uprawnień i interakcji użytkownika.

▸ Pokaż oryginał (EN)

Improper Control of Generation of Code ('Code Injection') vulnerability in Salesforce Uni2TS on MacOS, Windows, Linux allows Leverage Executable Code in Non-Executable Files.This issue affects Uni2TS: through 1.2.0.

🤖 Analiza AI

Jak działa

Podatność wynika z niewłaściwej kontroli generowania kodu (CWE-94) w Salesforce Uni2TS. Atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które są następnie interpretowane i wykonywane jako kod. Mechanizm 'Leverage Executable Code in Non-Executable Files' pozwala na osadzenie wykonywalnego kodu w plikach, które normalnie nie powinny być traktowane jako kod wykonywalny, co prowadzi do jego uruchomienia przez podatną aplikację.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem — osiągnąć poufność, integralność oraz dostępność na poziomie krytycznym. Możliwe jest zdalne wykonanie dowolnego kodu (RCE) na systemie, na którym działa Uni2TS.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://help.salesforce.com/s/articleView?id=005239354&type=1). Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do systemów z zainstalowanym Uni2TS oraz monitorowanie aktywności pod kątem nieautoryzowanego wykonania kodu.