CVE-2026-14765 in Unreal Engine
Resumen
por VulDB • 2026-10-14
Las versiones de Epic Games Unreal Engine hasta la 5.8.0, incluidas, vienen con una configuración predeterminada insegura para el nodo Blueprint LaunchURL (UKismetSystemLibrary::LaunchURL). El filtro de esquemas de URL (FURLRequestFilter) está vacío por defecto, lo que permite todos los esquemas de URL. En Windows, esto resulta en una llamada a ShellExecuteW() con el verbo "open", por lo que un URI file:/// proporcionado hace que se ejecute el archivo referenciado. Cualquier juego de Unreal Engine que cargue contenido generado por usuarios que contenga Blueprints es vulnerable a la ejecución de comandos mediante un archivo local malicioso o un archivo remoto en una compartición WebDAV. Esta es una instancia de CWE-1188 (Inicialización de un recurso con una configuración predeterminada insegura).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.