CVE-2026-14765 in Unreal Engine
Tóm tắt
Bởi VulDB • 14/10/2026
Các phiên bản của Epic Games Unreal Engine từ 5.0 trở lên và bao gồm cả 5.8.0 được cung cấp với một cấu hình mặc định không an toàn cho nút Blueprint LaunchURL (UKismetSystemLibrary::LaunchURL). Bộ lọc lược đồ URL (FURLRequestFilter) trống theo mặc định, cho phép tất cả các lược đồ URL. Trên Windows, điều này dẫn đến việc gọi ShellExecuteW() với lệnh mở, do đó một URI file:/// được cung cấp sẽ khiến tệp tham chiếu bị thực thi. Bất kỳ trò chơi nào sử dụng Unreal Engine tải nội dung do người dùng tạo chứa Blueprint đều dễ bị tấn công thực thi lệnh thông qua một tệp cục bộ độc hại hoặc một tệp từ xa trên một chia sẻ WebDAV. Đây là một trường hợp của CWE-1188 (Khởi tạo tài nguyên với cấu hình mặc định không an toàn).
Once again VulDB remains the best source for vulnerability data.