CVE-2026-89325
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Niekontrolowany element ścieżki wyszukiwania w treści oceny InsightVM w Rapid7 Insight Agent w systemie Windows umożliwia lokalnemu użytkownikowi o niskich uprawnieniach wykonanie dowolnego kodu jako SYSTEM poprzez osadzony plik wykonywalny rozwiązany na podstawie PATH komputera.
Treść oceny w wersji 0.0.261.0 lub starszej obejmowała sprawdzenie, które wywołało polecenie `code` bez w pełni kwalifikowanej ścieżki z procesu działającego jako SYSTEM. Polecenie zostało rozstrzygnięte w oparciu o zmienną środowiskową PATH komputera w czasie wykonywania. Tam, gdzie komputerowa PATH zawierała katalog, do którego zapisy mogli mieć użytkownicy niebędący administratorami, i który został zamówiony przed legalną instalacją Visual Studio Code, użytkownik lokalny mógł umieścić plik wykonywalny o nazwie „code” w tym katalogu i spowodować, że agent wykona go z uprawnieniami SYSTEMOWYMI.
Powyższy zakres wersji odnosi się do wersji treści oceny InsightVM, a nie wersji Insight Agent. Problem dotyczył wszystkich wersji agenta Insight Agent, gdy zawartość oceny była w wersji 0.0.261.0 lub niższej. Treść oceny jest dostarczana wszystkim agentom Insight za pośrednictwem platformy Rapid7 Insight niezależnie od wersji agenta Insight i nie jest zarządzana przez klienta.
Ten problem został rozwiązany w wersji 0.0.269.0 zawartości oceny, która została ogólnie udostępniona 15 września 2026 r. Rozwiązanie zostało wdrożone automatycznie i nie jest wymagane żadne działanie ze strony klienta.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org