CVE-2026-102262 Recorrido de directorios en el directorio de plugins de Newell Brands DYMO ID

Qué es CVE-2026-102262

Newell Brands DYMO ID 1.5.1.71 resuelve su directorio de plugins Modules en relación con el directorio de trabajo del proceso. Un atacante podría colocar un archivo de trabajo junto a módulos o DLL maliciosos que fijen el directorio de trabajo a la carpeta del archivo cuando la víctima lo abra, logrando ejecución de código con los privilegios de la víctima. Se corrige en 1.6.0.

Productos y versiones afectadas

• Newell Brands DYMO ID

  • desde 1.5.1.71 hasta antes de 1.6.0

Qué hacer

1. Verificá si usás DYMO ID y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• pawlokk/dymo-id-cve-poc ↗PoCs for CVE-2026-102262 & CVE-2026-101893 — code execution and XXE in DYMO ID (reported & fixed)PUBLICADO 13 OCT · 16:45

Calculadora CVSS

CVSS 3.1 · 7.3 ALTA

CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

CVSS 4.0 · 7.0 ALTA

CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Activa

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Newell Brands DYMO ID 1.5.1.71 resolves its plugin Modules directory relative to the process working directory. An attacker could store a job file alongside malicious modules / DLL that sets the process working directory to the job file's folder when a victim clicks on the file, resulting in code execution at the victim's privilege level. Fixed in 1.6.0.

Referencias

• www.dymo.com/support?cfid=user-guidePATCH
• raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/VA/white/2026/va-26-275-01.jsonTHIRD-PARTY-ADVISORY
• www.cve.org/CVERecord?id=CVE-2026-102262VDB-ENTRY

Historial de la alerta

1. 13 OCT · 16:45EXPLOIT PÚBLICO Se publicó el repositorio pawlokk/dymo-id-cve-poc.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.