CVE-2026-14765 in Unreal Engine
Sumário
de VulDB • 14/10/2026
As versões do Epic Games Unreal Engine até 5.8.0, inclusive, vêm com uma configuração padrão insegura para o nó Blueprint LaunchURL (UKismetSystemLibrary::LaunchURL). O filtro de esquema URL (FURLRequestFilter) está vazio por padrão, permitindo todos os esquemas URL. No Windows, isso resulta em uma chamada a ShellExecuteW() com o verbo "open", fazendo com que um URI file:/// fornecido execute o arquivo referenciado. Qualquer jogo Unreal Engine que carregue conteúdo gerado pelo usuário contendo Blueprints é vulnerável à execução de comandos por meio de um arquivo local malicioso ou de um arquivo remoto em uma partilha WebDAV. Este é um caso de CWE-1188 (Inicialização de um Recurso com Configuração Padrão Insegura).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.