PT-2026-31469 · Tclahr+1 · Uac

CVE-2026-40032 · Publicado 2026-04-08 · Atualizado 2026-04-08

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.5

Alta

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas UAC (Unix-like Artifacts Collector) versões anteriores a 3.3.0-rc1

Description Um problema de injeção de comando existe no pipeline de substituição de espaços reservados e execução de comandos. A função run command() passa strings de comando construídas diretamente para o eval sem a sanitização adequada. Isso permite que atacantes executem comandos arbitrários com os privilégios do processo UAC ao injetar metacaracteres de shell ou substituições de comando por meio de entradas controladas, como valores %line% de iteradores foreach e valores %user% ou %user home% derivados de arquivos do sistema.

Recommendations Atualize para a versão 3.3.0-rc1 ou posterior.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-40032

Produtos afetados

Uac

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/40xxx/CVE-2026-40032.json · Exploit
• https://github.com/tclahr/uac/issues/429 · Nota
• https://github.com/tclahr/uac/commit/50ace60e172e38feb78347bdf579311c23eff078 · Correção
• https://github.com/tclahr/uac/commit/cb95d7166cd47908e1189d9669e43f9a6d3d707f · Correção
• https://github.com/tclahr/uac/pull/443 · Nota
• https://github.com/tclahr/uac/commit/d0fca5e36d8d6a33a4404f0f6fe92b0424544589 · Correção
• https://vulncheck.com/advisories/uac-rc1-command-injection-via-placeholder-substitution · Nota
• https://mobasi.ai/sentinel · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-40032 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-40032 · Aviso do Fabricante