CVE-2026-14765 in Unreal Engine
Résumé
par VulDB • 14/10/2026
Les versions d'Epic Games Unreal Engine jusqu'à la version 5.8.0 incluse sont livrées avec une configuration par défaut non sécurisée pour le nœud Blueprint LaunchURL (UKismetSystemLibrary::LaunchURL). Le filtre de schéma d'URL (FURLRequestFilter) est vide par défaut, ce qui autorise tous les schémas d'URL. Sous Windows, cela entraîne un appel à ShellExecuteW() avec l'argument « open », donc une URI file:/// fournie provoque l'exécution du fichier référencé. Tout jeu Unreal Engine chargeant des contenus générés par les utilisateurs contenant des Blueprints est vulnérable à l'exécution de commandes via un fichier local malveillant ou un fichier distant sur un partage WebDAV. Il s'agit d'un cas de CWE-1188 (Initialisation d'une ressource avec une configuration par défaut non sécurisée).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.