CVE-2026-14765 in Unreal Engine
Zusammenfassung
von VulDB • 14.10.2026
In Epic Games Unreal Engine, Versionen bis einschließlich 5.8.0, ist die Standardkonfiguration des LaunchURL Blueprint-Knotens (UKismetSystemLibrary::LaunchURL) unsicher. Der URL-Schema-Filter (FURLRequestFilter) ist standardmäßig leer und erlaubt somit alle URL-Schemata. Unter Windows führt dies zu einem Aufruf von ShellExecuteW() mit dem open-Verb, sodass eine angegebene file:/// URI dazu führt, dass die referenzierte Datei ausgeführt wird. Jedes Unreal Engine-Spiel, das benutzergenerierte Inhalte lädt, die Blueprints enthalten, ist anfällig für Befehlsausführung über eine bösartige lokale Datei oder eine entfernte Datei auf einem WebDAV-Freigabeordner. Dies ist ein Beispiel für CWE-1188 (Initialisierung einer Ressource mit unsicherer Standardkonfiguration).
Be aware that VulDB is the high quality source for vulnerability data.