جزئیات آسیب‌پذیری
CVE-2026-55543
helge17 tuxguitar
TuxGuitar: Arbitrary Code Execution via maliciously crafted `.tg` file
CVSS 4.0
8.5بالا
شرح رسمی (انگلیسی)
TuxGuitar is an open-source guitar tablature editor. Prior to 2.1.0, an untrusted .tg file can set gervil.soundbank.path to reference an on-disk archive, including the .tg file itself, whose META-INF/services/javax.sound.midi.Soundbank entry names an attacker-supplied class stored in that archive. When a user opens the file, JARSoundbankReader uses an unverified class loader to load and instantiate that class, executing its constructor with the privileges of the TuxGuitar process. This issue is fixed in version 2.1.0.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.5بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| helge17 | tuxguitar | < 2.1.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۳- https://github.com/helge17/tuxguitar/commit/a7eef20e2e02ee454597d42c295327d9f098c636 x_refsource_MISC
- https://github.com/helge17/tuxguitar/releases/tag/2.1.0 x_refsource_MISC
- https://github.com/helge17/tuxguitar/security/advisories/GHSA-v66p-c82h-w3cq x_refsource_CONFIRM
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۷/۲۴
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۰۶
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۲۱٪
احتمال بهره‌برداری در ۳۰ روز
۱۱٫۶٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-94Improper Control of Generation of Code ('Code Injection')
- CWE-470Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection')