CVE-2026-104024
Lista incompleta de entradas no permitidas (CWE-184) en la confirmación de extensiones peligrosas del visor de objetos de archivo (peach.pas, grid_obj_open) en PeaZip desde la 10.5.0 hasta la 11.2.0 en Windows, lo que permite a un atacante que convenza a una víctima de abrir una entrada de un archivo manipulado ejecutar un programa o un comando arbitrario sin ningún cuadro de diálogo de confirmación.
Leer descripción completaMostrar menos
El aviso (¿Quiere ejecutar este archivo?) depende de SECEXTCONST, una lista codificada de forma fija con siete extensiones (exe cmd msi bat ps1 vbs reg); la comprobación es una comparación exacta de cadenas entre la extensión de la entrada y dicha lista, por lo que solo determina si la extensión es una de las siete y nunca si el shell ejecutará el archivo. Los tipos ejecutables por el shell y los de hosts de scripts que Windows ejecuta mediante ShellExecuteW no figuran en la lista, entre ellos .url y .lnk. Un acceso directo de Internet de Windows (.url) comprimido cuya línea de URL está controlada por el atacante se inicia sin aviso, mientras que el mismo contenido byte a byte en una entrada llamada .bat sí muestra la advertencia en la misma sesión. Una entrada .lnk eleva el alcance de un simple inicio de programa a la ejecución de una línea de comandos, porque un acceso directo de Windows admite argumentos: un acceso directo de prueba de concepto que apunta a cmd.exe con una línea de comandos elegida por el atacante se ejecutó sin ningún aviso. El destino del acceso directo no está limitado al disco local; el shell también resolvió una ruta UNC con un nombre elegido por el atacante (la descarga de una carga útil remota solo se intentó, no se demostró). No hay escalada de privilegios; todo se ejecuta con el usuario que abrió el archivo.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 4.6
- Versión
- 4.0
- Vector
- CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.13 %
- Percentil entre todas las CVEs puntuadas
- 2
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1203Exploitation for Client Executionexecution90 % - Impacto principal
T1059Command and Scripting Interpreterexecution85 %
UI:A exige que la víctima abra la entrada; SECEXTCONST omite .url y .lnk, y un .lnk puede ejecutar cmd.exe con argumentos sin aviso, sin escalada de privilegios.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-184, CWE-693
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-104024",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-104024",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "no"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-16T18:46:46.102565Z"
}
}
],
"cvssMetricV40": [
{
"type": "Secondary",
"source": "4daa8cea-433a-44bd-9456-53b127fc289a",
"cvssData": {
"Safety": "NOT_DEFINED",
"version": "4.0",
"Recovery": "NOT_DEFINED",
"baseScore": 4.6,
"Automatable": "NOT_DEFINED",
"attackVector": "LOCAL",
"baseSeverity": "MEDIUM",
"valueDensity": "NOT_DEFINED",
"vectorString": "CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X",
"exploitMaturity": "NOT_DEFINED",
"providerUrgency": "NOT_DEFINED",
"userInteraction": "ACTIVE",
"attackComplexity": "LOW",
"attackRequirements": "NONE",
"privilegesRequired": "NONE",
"subIntegrityImpact": "NONE",
"vulnIntegrityImpact": "LOW",
"integrityRequirement": "NOT_DEFINED",
"modifiedAttackVector": "NOT_DEFINED",
"subAvailabilityImpact": "NONE",
"vulnAvailabilityImpact": "NONE",
"availabilityRequirement": "NOT_DEFINED",
"modifiedUserInteraction": "NOT_DEFINED",
"modifiedAttackComplexity": "NOT_DEFINED",
"subConfidentialityImpact": "NONE",
"vulnConfidentialityImpact": "NONE",
"confidentialityRequirement": "NOT_DEFINED",
"modifiedAttackRequirements": "NOT_DEFINED",
"modifiedPrivilegesRequired": "NOT_DEFINED",
"modifiedSubIntegrityImpact": "NOT_DEFINED",
"modifiedVulnIntegrityImpact": "NOT_DEFINED",
"vulnerabilityResponseEffort": "NOT_DEFINED",
"modifiedSubAvailabilityImpact": "NOT_DEFINED",
"modifiedVulnAvailabilityImpact": "NOT_DEFINED",
"modifiedSubConfidentialityImpact": "NOT_DEFINED",
"modifiedVulnConfidentialityImpact": "NOT_DEFINED"
}
}
]
},
"affected": [
{
"source": "4daa8cea-433a-44bd-9456-53b127fc289a",
"affectedData": [
{
"cpes": [
"cpe:2.3:a:peazip:peazip:*:*:*:*:*:*:windows:*:*"
],
"repo": "https://github.com/peazip/PeaZip",
"vendor": "PeaZip",
"modules": [
"archive object open/preview (grid_obj_open in peach.pas)"
],
"product": "PeaZip",
"versions": [
{
"status": "affected",
"version": "10.5.0",
"lessThan": "11.3.0",
"versionType": "semver"
}
],
"platforms": [
"Windows"
],
"programFiles": [
"peazip-sources/dev/peach.pas"
],
"collectionURL": "https://github.com/peazip/PeaZip/releases",
"defaultStatus": "unaffected",
"programRoutines": [
{
"name": "grid_obj_open"
}
]
}
]
}
],
"published": "2026-10-15T14:17:13.553",
"references": [
{
"url": "https://github.com/peazip/PeaZip/commit/90ddbaee0945a4d8ffa4d972d43711bbfb9576ba",
"source": "4daa8cea-433a-44bd-9456-53b127fc289a"
},
{
"url": "https://secur0.com/en/cna/cve-list/cve-2026-104024-incomplete-extension-list-in-peazip",
"source": "4daa8cea-433a-44bd-9456-53b127fc289a"
}
],
"vulnStatus": "Deferred",
"weaknesses": [
{
"type": "Secondary",
"source": "4daa8cea-433a-44bd-9456-53b127fc289a",
"description": [
{
"lang": "en",
"value": "CWE-184"
},
{
"lang": "en",
"value": "CWE-693"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Incomplete List of Disallowed Inputs (CWE-184) in the dangerous-extension confirmation of the archive object viewer (peach.pas, grid_obj_open) in PeaZip 10.5.0 through 11.2.0 on Windows allows an attacker who convinces a victim to open an entry of a crafted archive to execute a program, or an arbitrary command, with no confirmation dialog. The prompt (Do you want to run this file?) is gated by SECEXTCONST, a hard-coded list of seven extensions (exe cmd msi bat ps1 vbs reg); the check is an exact string comparison of the entry extension against that list, so it answers only whether the extension is one of the seven and never whether the shell will execute the file. Shell-executable and scripting-host types that Windows runs through ShellExecuteW are absent from the list, among them .url and .lnk. An archived Windows Internet Shortcut (.url) whose URL line is attacker-controlled is launched with no prompt, while the byte-identical content in an entry named .bat does raise the warning in the same session. A .lnk entry raises the ceiling from launching a program to running a command line, because a Windows shortcut carries arguments: a proof-of-concept shortcut targeting cmd.exe with an attacker-chosen command line executed with no prompt. The shortcut target is not confined to the local disk; the shell also resolved an attacker-named UNC path (fetching a remote payload was only attempted, not demonstrated). No privilege escalation; everything runs as the user who opened the archive."
}
],
"lastModified": "2026-10-16T19:56:15.773",
"sourceIdentifier": "4daa8cea-433a-44bd-9456-53b127fc289a"
}