CVE-2026-44444: Lumiverse Spindle: scripts de ciclo de vida executam antes da verificação de segurança

Visão geral

O Lumiverse é um aplicativo de chat com IA com muitos recursos. Segundo o registro, as versões anteriores à 0.9.7 executam scripts de ciclo de vida de pacotes durante a instalação de extensões Spindle, antes que a verificação estática de segurança do backend (assertSafeBackendBundle) inspecione os arquivos gerados. A fraqueza é classificada como CWE-78, injeção de comandos do sistema operacional.

Impacto

Uma extensão maliciosa cujo manifesto de pacote defina scripts preinstall, postinstall ou prepare poderia executar código no host assim que um administrador iniciasse a instalação.
O registro afirma que isso ocorre antes que qualquer arquivo distribuído seja inspecionado, de modo que a verificação de segurança não impede o problema.
O vetor CVSS 3.1 indica alto impacto em confidencialidade, integridade e disponibilidade, com mudança de escopo. Também indica privilégios altos exigidos. A GitHub, como CNA, informa a pontuação de 9.1.

Produtos e versões afetados

Produto: Prolix-oc Lumiverse, version < 0.9.7 segundo o registro.
O campo estruturado de correções está vazio, mas a descrição informa que o problema está corrigido na 0.9.7.
Instalações na 0.9.7 ou superior estão fora da faixa afetada indicada.

Status de exploração

O registro indica que esta CVE não está listada no catálogo KEV da CISA.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Os dados SSVC do registro classificam a exploração como poc e a automatização como sim. A probabilidade EPSS é 0.00665, com percentil 0.50472, conforme registrado.

Remediação e mitigação

Atualize o Lumiverse para a versão 0.9.7 ou superior, conforme indicado na descrição do registro.
Enquanto a atualização não for aplicada, instale extensões Spindle apenas de fontes totalmente confiáveis e revisadas.
Revise os manifestos de pacote das extensões antes de qualquer instalação, verificando a presença de scripts de ciclo de vida.
Restrinja quais contas podem disparar a instalação de extensões.
Consulte o aviso do fornecedor GHSA-8x98-3wjp-pmj9 para orientações oficiais.

Orientações de detecção

Monitore processos filhos inesperados iniciados pelo servidor Lumiverse durante a instalação de extensões.
Audite os registros das ações de instalação de extensões, identificando quem as iniciou e a origem de cada extensão.
Observe o host da aplicação quanto a alterações inesperadas de arquivos ou conexões de saída logo após a instalação de uma extensão.

Limitações das informações disponíveis

O registro traz apenas uma faixa de versões e não lista builds ou commits específicos.
A versão corrigida aparece apenas no texto da descrição, não no campo estruturado de correções.
O vetor indica UI:N (sem interação do usuário), enquanto a descrição atribui o gatilho a um administrador que pressiona Instalar. O registro não resolve essa diferença.
Há apenas uma referência de aviso do fornecedor. Nenhuma análise independente foi consultada.
A data do EPSS no registro é posterior à data de publicação, por isso os valores devem ser conferidos no feed atual.

Perguntas frequentes

Quais versões do Lumiverse são afetadas pela CVE-2026-44444?

Segundo o registro, as versões anteriores à 0.9.7 são afetadas, e a descrição informa que o problema está corrigido na 0.9.7.

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que ela não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.