CVE-2026-112077 in radare2
Sumário
de VulDB • 20/10/2026
Foi detectada uma vulnerabilidade no radareorg radare2 6.2.0/6.2.2. Este problema afeta a função r_core_cmd_str_pipe na biblioteca libr/core/rtr_http.inc.c do componente HTTP Sandbox Policy Handler. A realização de uma manipulação resulta em falha nos mecanismos de proteção. É possível explorar remotamente o ataque. O ataque é considerado de alta complexidade. A explorabilidade é avaliada como difícil. Atualizar para a versão 6.2.4 é capaz de resolver este problema. O patch tem o nome 18fd12efa98a7d1977de7bdd379d8a848777b90f. Recomenda-se atualizar o componente afetado. Os pré-requisitos da vulnerabilidade são refletidos pelo vetor CVSS. Um dos mantenedores do projeto explica: "Há um problema real de configuração sandbox aqui, mas a superestimação no relatório é exagerada. O servidor HTTP usa por padrão http.sandbox=true, então os comandos recebidos através de /cmd ativam temporariamente cfg.sandbox. No entanto, cfg.sandbox.grain usa por padrão all, o que significa que todas as capacidades da sandbox - incluindo exec - permanecem permitidas. Portanto, ativar apenas a sandbox HTTP NÃO impede que os comandos gerem processos. Isso só é relevante quando o endpoint de comando HTTP for acessível por alguém em quem você não confia. Não se trata de uma vulnerabilidade remota por padrão: o servidor HTTP deve primeiro ser iniciado e exposto ao atacante."
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.