Electrum 4.6.0~4.7.2 版外掛授權繞過可導致本地程式碼執行漏洞
CVE-2026-117602 - Electrum before 4.7.2 External Plugin Authorization Bypass Local Code Execution
Electrum 4.6.0 之前至 4.7.2 版存在外掛授權繞過漏洞，允許本地程序在 plugins 資料夾放置任意程式碼並啟用，從而在 Electrum 程序內執行任意程式碼。
此漏洞揭示 Electrum 在外掛授權檢查上的缺陷，提示使用者需即時升級至 4.7.2 以避免本地程式碼執行風險。
譯文尚未完整，完整內容請切換至原文。
Electrum 4.6.0 之前至 4.7.2 版本包含外部外掛載入器的授權繞過漏洞，當外掛在設定檔中被標記為啟用時，會執行外掛的 __init__.py 模組，而不驗證其外掛密碼簽章。具有寫入許可權的惡意本地程序可將外掛程式碼放置於 plugins/ 資料夾並標記為啟用，導致在 Electrum 程序內執行任意程式碼。
影響
受影響產品
以下產品受到 CVE-2026-117602 漏洞的影響。
即使 cvefeed.io 知道受影響產品的確切版本，該資訊在下表中未呈現。
| ID | Vendor | Product | Action |
|---|---|---|---|
| 1 | Electrum | electrum |
Common Vulnerability Scoring System（CVSS）是一個標準化框架，用於評估軟體與系統漏洞的嚴重程度。我們從各來源蒐集並顯示每個 CVE 的 CVSS 分數。
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 3.1 | 高 | MITRE-CVE | ||||
| CVSS 3.1 | 高 | [email protected] | ||||
| CVSS 4.0 | 高 | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 4.0 | 高 | [email protected] |
此處，您將找到精選的外部連結，提供深入資訊、實用解決方案及與 CVE-2026-117602 相關的有價值工具。
CVE 針對特定漏洞例項，CWE 則分類可能導致漏洞的常見缺陷或弱點。CVE-2026-117602 與以下 CWE 相關：
Common Attack Pattern Enumeration and Classification
(CAPEC)
存放攻擊模式，這些是描述攻擊者用來利用CVE-2026-117602弱點的共通屬性與方法的描述。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下清單是已在 GitHub 上發布的公開漏洞與概念驗證集合，按最近更新時間排序。
由於潛在的效能問題，結果限制為前 15 個倉庫。
以下清單列出在文章中提及CVE-2026-117602漏洞的新聞。
以下表格列出隨時間變化對CVE-2026-117602漏洞所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，並辨識可能影響漏洞嚴重性、可利用性或其他特性的最新變更。
-
New CVE 已接收 By [email protected]
十月. 27, 2026
動作 型別 舊值 新值 新增 描述 Electrum 4.6.0 (至 4.7.2) 內含授權繞過漏洞，外部外掛載入器在外掛被設定為啟用時執行其 __init__.py 模組，且不會驗證其外掛密碼簽名。具有寫入許可權的本地程序可將外掛程式碼放入 plugins/ 資料夾並將其標記為啟用，從而在 Electrum 程序內任意執行程式碼。 新增 CVSS V4.0 AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X 新增 CVSS V3.1 AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 新增 CWE CWE-347 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/117xxx/CVE-2026-117602.json">CVE-2026-117602</a> 新增 參考 https://github.com/spesmilo/electrum/commit/032dfcf107da1d31bbee5d64ca978e554fd8e982 新增 參考 https://github.com/spesmilo/electrum/commit/fd7164d6dc1560b6f153c018cabf17e9411c5414 新增 參考 https://github.com/spesmilo/electrum/security/advisories/GHSA-vw94-r84p-66qf 新增 參考 https://www.vulncheck.com/advisories/electrum-before-4.7.2-external-plugin-authorization-bypass-local-code-execution
EPSS 為每日估計，在未來 30 天內觀察到利用活動的機率。下圖顯示此漏洞的 EPSS 分數歷史。