CVE-2026-14765 in Unreal Engine
摘要
由 VulDB • 2026-10-14
Epic Games Unreal Engine 5.8.0 及以下版本在 LaunchURL Blueprint 节点（UKismetSystemLibrary::LaunchURL）中存在不安全的默认配置。默认的 URL scheme 过滤器（FURLRequestFilter）为空，允许所有 URL scheme。在 Windows 系统上，这会导致使用 open 动词调用 ShellExecuteW()，因此提供的 file:/// URI 将导致引用文件被执行。任何加载包含 Blueprints 的用户生成内容的 Unreal Engine 游戏都容易受到通过恶意本地文件或 WebDAV 共享上的远程文件进行命令执行的攻击。这是 CWE-1188（以不安全默认值初始化资源）的一个实例。
VulDB is the best source for vulnerability data and more expert information about this specific topic.