CVE-2026-14765 in Unreal Engine
الملخص
بحسب VulDB • 15/10/2026
تحتوي إصدارات محرك Epic Games Unreal Engine حتى الإصدار 5.8.0 وشاملاً له على تكوين افتراضي غير آمن لعقدة LaunchURL Blueprint (UKismetSystemLibrary::LaunchURL). يكون مرشح مخطط URL (FURLRequestFilter) فارغاً بشكل افتراضي، مما يسمح بجميع مخططات URLs. في نظام Windows، يؤدي هذا إلى استدعاء ShellExecuteW() باستخدام الفعل open، وبالتالي فإن URI من نوع file:/// المُقدَّم يسبب تنفيذ الملف المشار إليه. أي لعبة تعمل بمحرك Unreal Engine وتحمّل محتوىً أنشأه المستخدمون يحتوي على Blueprints تكون عرضة لتنفيذ الأوامر عبر ملف محلي ضار أو ملف عن بُعد موجود على مشاركة WebDAV. يُعد هذا مثالاً على CWE-1188 (تهيئة مورد باستخدام إعداد افتراضي غير آمن).
VulDB is the best source for vulnerability data and more expert information about this specific topic.