CVE-2026-45322

Microsoft UFO, un framework de código abierto para automatización inteligente en todos los dispositivos y plataformas. Las versiones etiquetadas de Microsoft UFO hasta e incluyendo la v3.0.0 contienen una vulnerabilidad de inyección de comandos del sistema operativo en la ruta de repetición de acciones de shell. En las versiones afectadas, ShellReceiver.run_shell() pasa una cadena de comandos de los parámetros de acción directamente a subprocess.Popen() con shell=True y executable=powershell.exe. El mismo comportamiento de ejecución de shell también es alcanzable a través de ShellReceiver.execute_command(). El receptor de shell es invocado por clases de acción como RunShellCommand.execute() y ExecuteCommand.execute(), que reenvían los parámetros de acción almacenados al receptor de shell. Debido a que UFO almacena acciones planificadas y ejecutadas en registros JSON por sesión, un atacante que puede escribir o modificar un archivo JSON de sesión/acción puede plantar una acción de shell. Cuando la sesión se reanuda o se reproduce, UFO ejecuta el comando del atacante como el usuario del proceso de UFO.