CVE-2026-44449
Publiée le 2026-05-26 · Dernière modification le 2026-07-24
Les applications de chat Lumiverse AI antérieures à la version 0.9.7 sont vulnérables à l'exécution de commandes à distance sur le serveur hôte. Un attaquant disposant de privilèges élevés peut exploiter cette faille en fournissant un chemin de fichier spécialement conçu qui incite le système à exécuter des commandes shell arbitraires. Cette attaque est relativement facile à réaliser via le réseau et ne nécessite aucune interaction de l'utilisateur, bien qu'elle exige que l'attaquant dispose déjà d'un accès authentifié au système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Lumiverse is a full-featured AI chat application. Prior to 0.9.7, when the primary toSmbPath(fullPath) call throws, the method falls back to a dirname/basename split and only validates the directory prefix. The basename is concatenated directly into the smbclient -c script without validation. smbclient interprets ; as a subcommand separator and !cmd as a local-shell escape that runs cmd on the host. A path whose directory component is clean but whose basename contains "; !<cmd>; echo " achieves arbitrary command execution on the Lumiverse server. This vulnerability is fixed in 0.9.7.