CVE-2026-115904: Command Injection in Topluyo Linux

Topluyo Desktop Linux critica: Command Injection via URL. CVSS 9,6. PoC pubblico. Aggiorna alla 2026.9.2410.

CVE-2026-115904 identifica una vulnerabilità critica di OS Command Injection in Topluyo Desktop per Linux, versioni precedenti alla 2026.9.2410. La falla risiede nella funzione openExternalLinks() del file utils.js, dove gli URL controllati dall'attaccante vengono elaborati in modo non sicuro. Ciò consente l'esecuzione di comandi arbitrari del sistema operativo con i privilegi dell'utente che esegue l'applicazione.

La vulnerabilità è dichiarata critica con CVSS 9,6 secondo i dati ufficiali. NVD ha pubblicato la segnalazione il 28 ottobre 2026. Il 2 novembre 2026 è stato reso pubblico un PoC (Proof of Concept) su GitHub, confermando la disponibilità di exploit dimostrativi. La patch ufficiale è stata rilasciata nella versione 2026.9.2410.

Gli amministratori di sistema devono aggiornare immediatamente Topluyo Desktop alla versione 2026.9.2410 o successiva. Se l'applicazione non può essere aggiornata immediatamente, limitare l'apertura di link da fonti non fidate e monitorare l'esecuzione di processi da Topluyo. Verificare nei log di sistema eventuali esecuzioni di comandi anomale originate dall'applicazione.

In sintesi

Cosa: OS Command Injection nella funzione openExternalLinks() di Topluyo Desktop for Linux attraverso URL non validati. Attaccante esegue comandi OS arbitrari con privilegi dell'utente che avvia l'app.
Gravità: CVSS 9,6 (Critical). Esecuzione arbitraria di comandi con privilegi limitati all'utente locale dell'applicazione.
Versioni interessate: Topluyo Desktop for Linux precedente alla 2026.9.2410. Versioni a partire da 2026.9.2410 sono patched.
Correzione: Aggiornare a Topluyo Desktop 2026.9.2410 o successiva. La patch è già disponibile dal produttore.
Stato: CVE pubblicato su NVD il 28 ottobre 2026. PoC pubblico disponibile su GitHub dal 2 novembre 2026. Patch ufficiale disponibile.
Azione: Aggiornare immediatamente a 2026.9.2410+. Se non possibile, limitare fonti di URL e monitorare processi anomali nei log di sistema.

Fonti: NVD, CVE-2026-115904

← Tutti gli articoli