CWE-427
MITRE Подмена элемента пути
Uncontrolled Search Path Element
CWE-427 — подмена элемента пути: библиотека или исполняемый файл загружается из каталога, доступного постороннему. Уязвимость возникает в приложениях и служебных скриптах под Unix и Windows, где поиск идёт через PATH, LD_LIBRARY_PATH или текущий каталог. Злоумышленник подкладывает туда свою библиотеку, и чужой код выполняется с правами приложения.
Как защититься от CWE-427
Чтобы защититься от CWE-427, задавайте путь поиска жёстко: только системные каталоги из кода или значения из конфигурации, доступной только администратору, а внешние программы вызывайте по полным именам. Перед запуском очищайте или ограничивайте переменные окружения PATH и LD_LIBRARY_PATH, удаляйте из пути текущий рабочий каталог и временные папки, а для запуска используйте функции с обязательным полным путём — execl() и execv().
Уязвимости с типом CWE-427 (50)
С
8.4Уязвимость программного средства загрузки, установки и активации программного обеспечения Siemens Software Center, связа2026-10-15 В
8.6Уязвимость графического редактора Adobe Photoshop, связанная с неконтролируемым элементом пути поиска, позволяющая наруш2026-09-08 В
8.5Уязвимость агента удаленного доступа пользователей к корпоративным ресурсам и приложениям Prisma Access Agent, связанная2026-08-12 С
8.5Уязвимость функции nltk.parse.dependencygraph.dot2img() и nltk.translate.api.AlignedSent._repr_svg_() пакета библиотек д2026-08-11 В
9.1Уязвимость дистрибутива Apache Lounge веб-сервера Apache HTTP Server, позволяющая нарушителю повысить свои привилегии2026-07-21 В
8.4Уязвимость механизма загрузки DLL-файлов прокси-сервера SAProuter, позволяющая нарушителю выполнить произвольный код2026-07-14 С
7.8Уязвимость приложения графического редактора для рабочего стола Adobe Creative Cloud Desktop Application, связанная с не2026-07-14 С
7.4Уязвимость программ просмотра и редактирования PDF-файлов Adobe Acrobat, Adobe Acrobat Reader и Adobe Acrobat 2024, связ2026-06-10 С
7.2Уязвимость программного средства для создания систем контейнерной изоляции Moby, связанная с неконтролируемым элементом 2026-05-18 В
8.0Уязвимость среды разработки приложений Microsoft Power Apps, связанная с неконтролируемым элементом пути поиска, позволя2026-04-23 С
7.8Уязвимость приложения для управления UPS (Uninterruptible Power Supply), связанная с неконтролируемым элементом пути пои2026-04-15 С
7.8Уязвимость библиотеки libssh, связанная с неконтролируемым элементом пути поиска, позволяющая нарушителю повысить свои п2026-04-07 С
7.8Уязвимость службы обновления программы для просмотра электронных документов в стандарте PDF Foxit PDF Reader (ранее Foxi2026-03-31 С
8.2Уязвимость службы обновления FoxitPDFReaderUpdater.exe программы для просмотра электронных документов в стандарте PDF Fo2026-03-25 С
7.0Уязвимость библиотеки msimg32.dll программного средства для удаленного администрирования Mobatek MobaXterm, позволяющая 2026-03-12 С
5.0Уязвимость графического интерфейса пользователя SAP GUI для Windows, связанная с недостатками механизма вызовов системны2026-03-10 С
7.3Уязвимость текстового редактора Notepad++, связанная с использованием ненадёжного пути поиска, позволяющая нарушителю вы2026-02-16 В
7.7Уязвимость команды system.run ИИ-агента OpenClaw (ранее - ClawdBot или MoltBot), позволяющая нарушителю выполнить произв2026-02-14 В
8.6Уязвимость WebSocket-сервера Gateway ИИ-агента OpenClaw (ранее - ClawdBot или MoltBot), позволяющая нарушителю выполнить2026-02-14 С
8.5Уязвимость системы сетевого управления для мониторинга промышленными сетями Siemens SINEC NMS, связанная с неконтролируе2026-02-10 С
8.5Уязвимость компонента User Management Component (UMC) системы управления сетями передачи данных SINEC NMS, позволяющая н2026-02-10 В
8.4Уязвимость программной платформы комплексного сетевого управления D-Link D-View, связанная с непринятием мер по нейтрали2026-01-21 С
6.7Уязвимость инструмента анализа производительности системы NVIDIA NSight Systems программного средства для параллельных в2026-01-20 С
9.3Уязвимость программного обеспечения для онлайн-моделирования и оптимизации процессов AVEVA Process Optimization, связанн2026-01-13 С
5.7Уязвимость программного обеспечения TrueConf Client, связанная с неконтролируемым элементом пути поиска, позволяющая нар2025-12-30 С
6.0Уязвимость процесса установки средства антивирусной защиты Kaspersky Security Center для операционной системы Windows, с2025-11-12 С
8.5Уязвимость системы управления распределенными ресурсами, которая оптимизирует рабочие нагрузки в центрах обработки данны2025-11-11 С
8.5Уязвимость системы управления распределенными ресурсами, которая оптимизирует рабочие нагрузки в центрах обработки данны2025-11-11 С
8.2Уязвимость единого центра управления NVIDIA App, связанная с неконтролируемым элементом пути поиска, позволяющая нарушит2025-11-03 С
7.8Уязвимость установщика платформы для разработки и доставки контейнерных приложений Docker Desktop, позволяющая нарушител2025-10-23 С
7.3Уязвимость средств защиты Fortinet FortiClient Windows, связанная с неконтролируемым элементом пути поиска, позволяющая 2025-10-14 С
8.2Уязвимость графического драйвера NVIDIA GPU Display Driver, связанная с неконтролируемым элементом пути поиска, позволяю2025-10-09 С
7.3Уязвимость компонентов Zabbix Agent и Agent2 системы мониторинга ИТ-инфраструктуры Zabbix, позволяющая нарушителю повыси2025-10-03 В
7.8Уязвимость компонента ngfx программного инструмента отладки NVIDIA Nsight Graphics, позволяющая нарушителю выполнить про2025-09-30 В
8.4Уязвимость текстового редактора Notepad++, связанная с неконтролируемым элементом пути поиска, позволяющая нарушителю вы2025-09-26 С
8.2Уязвимость установщика графического редактора Adobe Photoshop, позволяющая нарушителю повысить свои привилегии2025-09-23 С
7.0Уязвимость программного обеспечения для работы с PDF-файлами UPDF операционных систем Windows, позволяющая нарушителю вы2025-09-10 С
7.0Уязвимость программного обеспечения для работы с PDF-файлами UPDF операционных систем Windows, позволяющая нарушителю вы2025-09-10 С
8.5Уязвимость браузера Lenovo Browser, связанная с неконтролируемым элементом пути поиска, позволяющая нарушителю повысить 2025-09-10 С
7.0Уязвимость программного обеспечения для работы с PDF-файлами UPDF операционных систем Windows, позволяющая нарушителю вы2025-09-10 С
5.5Уязвимость функции trace_printk_seq() ядра операционной системы Linux, связанная с неконтролируемым элементом пути поиск2025-08-22 С
7.0Уязвимость программного пакета для управления устройствами хранения данных Seagate Toolkit, связанная с загрузкой ненаде2025-08-20 В
7.8Уязвимость программного обеспечения для 3D-моделирования Adobe Substance 3D Modeler, связанная с неконтролируемым элемен2025-08-12 С
5.4Уязвимость оптимизирующего компилятора oneAPI DPC++/C++ Compiler, связанная с неконтролируемым элементом пути поиска, по2025-08-12 С
5.4Уязвимость набора инструментов разработки программного обеспечения Intel oneAPI Toolkit, связанная с неконтролируемым эл2025-08-12 В
8.5Уязвимость сетевого программного обеспечения Siemens, связанная с неконтролируемым элементом пути поиска, позволяющая на2025-08-12 С
7.8Уязвимость установщика программы для управления SSD-дисками Samsung Magician, позволяющая нарушителю повысить свои приви2025-08-11 С
7.0Уязвимость сценария safe_asterisk (/usr/sbin/safe_asterisk) системы управления IP-телефонией Asterisk, позволяющая наруш2025-07-31 С
7.0Уязвимость установщика агента для сборки и доставки данных в Elasticsearch или Logstash Elastic Beats, позволяющая наруш2025-07-29 С
7.0Уязвимость установщика агента для сборки и доставки данных в Elasticsearch или Logstash Elastic Beats, позволяющая наруш2025-07-29Отслеживайте уязвимости автоматически
КиберОснова SGRC: учёт уязвимостей CWE-427 и других типов из БДУ ФСТЭК, задачи на устранение с плановым сроком.
