Plateforme
python
Composant
pymetasploit3
Corrigé dans
1.0.7
1.0.7
La CVE-2026-5463 est une vulnérabilité d'injection de commande dans pymetasploit3. Elle permet à un attaquant d'injecter des caractères de nouvelle ligne dans les options du module, ce qui peut entraîner l'exécution de commandes arbitraires. Les versions affectées sont pymetasploit3 0–1.0.6. Aucun correctif officiel n'est actuellement disponible.
La vulnérabilité CVE-2026-5463 dans pymetasploit3 (versions jusqu'à 1.0.6) présente un risque significatif en raison d'une vulnérabilité d'injection de commandes dans la fonction console.runmodulewith_output(). Cela permet à un attaquant d'injecter des caractères de nouvelle ligne dans les options des modules, comme RHOSTS, ce qui corrompt la structure de commande prévue. Par conséquent, la console Metasploit peut exécuter des commandes non intentionnelles, ce qui peut entraîner une exécution de commandes arbitraires et une manipulation des sessions Metasploit. Le score CVSS de 8,6 indique une sévérité élevée, en particulier dans les environnements où Metasploit est utilisé pour des tests d'intrusion ou des évaluations de sécurité. L'absence de correctif disponible aggrave la situation, nécessitant des mesures préventives immédiates.
L'exploitation de CVE-2026-5463 nécessite un attaquant ayant accès à la console Metasploit ou la capacité d'influencer les options des modules. L'attaquant peut injecter des caractères de nouvelle ligne dans les champs d'options, tels que RHOSTS, afin de rompre la structure de commande. Par exemple, un attaquant pourrait fournir une entrée pour RHOSTS contenant un caractère de nouvelle ligne suivi d'une commande malveillante. Lorsque Metasploit traite cette entrée, il interprète la nouvelle ligne comme la fin de l'option RHOSTS et exécute la commande malveillante en tant que commande supplémentaire. L'efficacité de l'exploitation dépend de la configuration du système et des autorisations de l'utilisateur exécutant Metasploit.
Organizations and individuals utilizing pymetasploit3 for penetration testing, vulnerability assessment, or security automation are at risk. This includes security professionals, red team operators, and developers integrating pymetasploit3 into custom security tools. Those relying on older, unpatched versions of pymetasploit3 are particularly vulnerable.
• python: Inspect pymetasploit3 module code for instances of console.runmodulewith_output() where user-supplied input (e.g., RHOSTS) is not properly sanitized.
• python: Monitor Python logs for unusual command execution patterns or errors related to module execution.
• generic web: If pymetasploit3 is integrated into a web application, monitor access logs for requests containing suspicious characters or patterns in module parameters.
• generic web: Review web application firewall (WAF) logs for command injection attempts targeting pymetasploit3 endpoints.
disclosure
Statut de l'Exploit
EPSS
1.78% (percentile 83%)
CISA SSVC
Vecteur CVSS
Étant donné qu'aucun correctif officiel n'est disponible pour CVE-2026-5463, l'atténuation se concentre sur la réduction des risques. La recommandation principale est d'éviter d'utiliser pymetasploit3 jusqu'à ce qu'une mise à jour soit publiée. Si l'utilisation de pymetasploit3 est essentielle, limitez strictement l'accès à la console Metasploit, en la réservant aux utilisateurs autorisés et de confiance uniquement. De plus, mettez en œuvre une surveillance approfondie de l'activité de la console à la recherche de commandes inhabituelles ou suspectes. La validation rigoureuse des entrées utilisateur, en particulier pour les options de modules telles que RHOSTS, peut aider à prévenir l'injection de commandes. Envisagez de passer à des versions plus récentes du Metasploit Framework si possible, car elles pourraient ne pas être vulnérables à cette vulnérabilité.
Actualice la biblioteca pymetasploit3 a una versión posterior a la 1.0.6. Esto solucionará la vulnerabilidad de inyección de comandos. Puede actualizar usando pip: `pip install --upgrade pymetasploit3`.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Cela indique une sévérité élevée, ce qui signifie que la vulnérabilité est facilement exploitable et peut avoir un impact important.
Actuellement, aucun correctif officiel n'est disponible pour CVE-2026-5463.
Limitez l'accès à la console, surveillez l'activité et validez les entrées utilisateur.
Évitez d'utiliser pymetasploit3 jusqu'à ce qu'une mise à jour soit publiée et mettez en œuvre les mesures d'atténuation.
C'est une technique d'attaque qui permet à un attaquant d'exécuter des commandes arbitraires sur un système en exploitant un manque de validation des entrées utilisateur.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier requirements.txt et nous te dirons instantanément si tu es affecté.