CVE-2026-92704
SharpEmu: Cross-site request forgery in the debugger frontend leads to arbitrary process execution
CVSS 3.1Medium
8.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите SharpEmu до версии 0.0.3-release.3-patch.1.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Межсайтовая подделка запроса (CSRF) в веб-интерфейсе отладчика SharpEmu позволяет запускать произвольные процессы и управлять эмулируемым процессом.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Интерфейс отладчика запускает HTTP-сервер на 127.0.0.1:8765 без аутентификации и CSRF-токенов, а обработчик do_POST в tools/SharpEmu.DebuggerFrontend/debugger_frontend.py не проверяет заголовки Origin, Referer, Sec-Fetch-Site и Host. Функция _read_json_body() принимает JSON со стандартными браузерными Content-Type, что дает вредоносным веб-страницам возможность отправлять межсайтовые запросы к /api/launch, /api/command и /api/connect.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Запуск существующих исполняемых файлов с привилегиями пользователя, управление эмулируемым процессом, исходящие TCP-соединения к доступным сетевым службам, а при атаке DNS rebinding — чтение ответов API.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/sharpemu/sharpemu/security/advisories/GHSA-fr3v-rvqp-8fx3
- github.comhttps://github.com/sharpemu/sharpemu/pull/858
- github.comhttps://github.com/sharpemu/sharpemu/commit/3831f3c407c547a5e58f353649b2c556d785c463
- github.comhttps://github.com/sharpemu/sharpemu/releases/tag/v0.0.3-release.3-patch.1
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-92704: SharpEmu: Cross-site request forgery in the debugger frontend leads to arbitrary process execution. URL: https://cve.futuretools.ru/cve/CVE-2026-92704
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_92704,
title = {{CVE-2026-92704: SharpEmu: Cross-site request forgery in the debugger frontend leads to arbitrary process execution}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-92704}},
note = {Оперативный инженерный анализ киберугроз}
}