home / blog
2026-10-30 · alta
CVE-2026-119025: Command Injection PowerShell via URL OAuth
OS command injection CVSS 7,5 via URL OAuth: PowerShell su Windows/WSL versioni < 11.0.0, patch per 11.0.0.
CVE-2026-119025 è una vulnerabilità di OS command injection in versioni della componente 'open' da 7.2.0 a 10.x.x su Windows e WSL. La falla consente a un attacker di iniettare sottoespressioni PowerShell $(...) in URL, tipicamente parametri authorization_endpoint di server OAuth/MCP malevoli. Quando index.js processa questi URL senza sanitizzazione, li passa direttamente a powershell -EncodedCommand con l'encoding, causando l'esecuzione arbitraria di codice PowerShell nel contesto dell'applicazione.
La severità è CVSS 7,5 (HIGH). Il vettore richiede interazione: la vittima deve usare l'applicazione e contattare un endpoint OAuth compromesso fornito da attacker. I dati NVD confermano la descrizione tecnica il 29 ottobre 2026. Un segnale GitHub correlato identifica il pattern di attacco (tracciamento URL OAuth untrusted verso sink shell) il 30 ottobre, stesso giorno della nostra valutazione. Non è confermato sfruttamento pubblico o attivo al momento.
Difensori devono verificare immediatamente se la componente 'open' versioni 7.2.0-10.x è presente in ambienti con accesso a configurazioni MCP server o OAuth. Prioritizzare upgrade a versione 11.0.0 o successiva, che applica escaping corretto. Revisionare configurazioni OAuth e MCP servers attivi, verificare whitelist di authorization_endpoint attendibili. Abilitare logging e alerting su esecuzioni PowerShell inattese su Windows/WSL, specie con parametri -EncodedCommand o flag di encoding.
In sintesi
- Cosa
- OS command injection tramite URL OAuth non sanitizzati. Un attacker inietta sottoespressioni PowerShell in URL, es. parametri authorization_endpoint da MCP server malevoli, che index.js passa unescaped a powershell -EncodedCommand su Windows e WSL.
- Gravità
- CVSS 7,5 (HIGH). Richiede interazione: attacker fornisce URL malformato, vittima con l'app richiama OAuth endpoint compromesso. Conseguenza: esecuzione codice PowerShell arbitrario.
- Versioni interessate
- Versioni da 7.2.0 a prima di 11.0.0. Non confermato da NVD quale prodotto esatto, descrizione indica componente 'open' con versioning da 7.2.0 a 11.0.0.
- Correzione
- Upgrade a versione 11.0.0 o successiva. Patch applica escaping corretto di URL prima di passarli a powershell -EncodedCommand.
- Stato
- Pubblicato NVD il 29 ottobre 2026. Segnale GitHub identifica il pattern di attacco il 30 ottobre 2026. Non confermato sfruttamento pubblico.
- Azione
- Verificare inventory prodotto 'open' versioni 7.2.0-10.x. Prioritizzare upgrade a 11.0.0+. Revisionare configurazioni MCP servers e OAuth endpoints in ambiente. Monitorare accessi PowerShell anomali su Windows/WSL.
Fonti: NVD, CVE-2026-119025