CVE-2026-89116

mediumPriorität · verfolgen · 24EPSS 0.002 · 7. PerzentilFR
grimoire priorityP3 · Track
Exploitable?
—
no known exploitation
Likely / severe?
0.17% (7th) EPSS
CVSS 5.9 · medium
Is it mine?
0 products
Prüfe deine Angriffsfläche
Who says so?
1 sources
certfr

EPSS · bewertet 2026-10-22

The affected code used child_process.execSync with a shell string for generator installation and uninstallation. This allowed an attacker to execute arbitrary OS commands with the developer's privileges by manipulating the ApplicationWizard.installationLocation VS Code workspace configuration value. Because the value was passed directly to the shell without sanitisation, a malicious workspace repository could craft a settings.json that injects OS commands when a developer opens the project and triggers a generator installation.

01

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

5.9
010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.15.9mediumCVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:Nprimary · cna@sap.comAusnutzbarkeit 1.6 · Auswirkung 4.2
v3.15.4mediumCVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N/E:Usecondary · CVSS-BT (t0sche)
02

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS
03

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-78US
04

betroffene Produkte

Betroffene Produkte und Versionsbereiche.

Keine betroffenen Produkte erfasst.

05

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

06

quellen

Welche Quellen diesen Datensatz belegen und wann.

certfrNVDCVE.orgMITRE
veröffentlicht 2026-10-13geändert 2026-10-15
07

Referenzen (2) nvd

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan