Sandboxie-Plus: Sandbox containment bypass

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Sandboxie-Plus is an open source sandbox-based isolation software for Windows. Prior to 1.18.6, a process inside a sandbox could send MSGID_FILE_SET_ATTRIBUTES or MSGID_FILE_SET_SHORT_NAME to SbieSvc and cause the SYSTEM service to open and modify an existing file outside the sandbox. The direct primitive changes file attributes, timestamps, writeability, or 8.3 short names; a short-name redirection can additionally contribute to SYSTEM code execution when a privileged process resolves an attacker-controlled short-name path in a location SbieSvc can open. This vulnerability is fixed in 1.18.6.

Etkilenen sürümler1 yazılım

Kaynaklar5 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…dboxie/security/advisories/GHSA-vhjw-4xvf-c74w Diğer
• github.com/…ommit/4e121cc4dacdc31973adcb81581b0414d48c26fc Diğer
• github.com/sandboxie-plus/Sandboxie/releases/tag/v1.18.6 Diğer

Kayıt geçmişi

1. 5 Kas 2026 00:54Yayımlandı

İlgili açıklar

• 7,7 CVE-2026-122307Kyverno politika atlatma açığı (PolicyException işleme hatası)
• 9,9 CVE-2026-122304Kyverno CleanupPolicy bağlam yükleyicisinde yetki yükseltme açığı
• 7,7 CVE-2026-62662Pocket ID: İstemci kimlik bilgileri akışında keyfi hedef kitle (aud) token üretimi
• 7,5 CVE-2026-122192Firecracker: başarısız bellek serbest bırakma sonrası VMM belleğine misafir erişimi
• 4,3 CVE-2026-122116Certain Yealink terminal devices before 2026-04-21 contain an improper access control vulnerability in the Wi-Fi 802.…
• 7,1 CVE-2026-119747GetPaid WordPress eklentisinde REST API üzerinden yetkisiz erişim (2.8.63 öncesi)