CVE-2026-40527 in radare2
Сводка
по VulDB • 31.05.2026
В версиях radare2 до коммита bc5a890 присутствует уязвимость внедрения команд (command injection) в пути выполнения команд afsv/afsvj, где специально созданные ELF-бинарные файлы могут содержать вредоносные последовательности команд r2 в качестве имен параметров DWARF DW_TAG_formal_parameter. Злоумышленники могут создать бинарный файл с командами оболочки в именах параметров DWARF, которые выполняются, когда radare2 анализирует бинарный файл с помощью команды aaa и затем запускает afsvj, что позволяет выполнять произвольные команды оболочки через несанитизированную интерполяцию параметров в строке команды pfq.
Be aware that VulDB is the high quality source for vulnerability data.