CVE-2026-55673
Açıklama
PowSyBl (Power System Blocks), güç sistemi odaklı yazılımlar oluşturmak için kullanılan bir çerçevedir. 7.2.2 sürümünden önce, UnixLocalCommandExecutor ve WindowsLocalCommandExecutor; komut argümanlarını ve ortam değişkenlerini, yeterli kaçış karakterleri kullanılmadan bash -c veya cmd /c aracılığıyla yorumlanan dizelere eklemektedir. UnixLocalCommandExecutor.execute, WindowsLocalCommandExecutor.execute, LocalComputationManager.execute, ParallelLoadFlowActionSimulator.run, ActionSimulatorTool.run, AmplModelRunner.run veya AmplModelRunner.runAsync yöntemlerine ulaşan saldırgan kontrollü değerler, hedeflenen komuttan çıkabilir ve JVM kullanıcısı olarak rastgele kabuk komutları çalıştırabilir. Etkilenen itools yolları arasında task-count ile action-simulator, external ile security-analysis ve dynamic-security-analysis yer almaktadır. Daha az güvenilir beklenmedik durum tanımlayıcılarını veya hesaplama parametrelerini bu API'lere yönlendiren alt düzey CLI araçları, kütüphaneler, REST ön uçları ve çok kiracılı şebeke analiz servisleri, bu enjeksiyonu uzaktan erişime açabilir. Bu sorun 7.2.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- com.powsybl:powsybl-computation-local7.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| com.powsybl:powsybl-computation-localMaven | v < 7.2.2 | 7.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.