CVE-2026-14765 Configuración insegura por defecto de esquemas de URL en LaunchURL de Epic Games Unreal Engine

Qué es CVE-2026-14765

Epic Games Unreal Engine hasta la versión 5.8.0 inclusive incluye una configuración insegura por defecto en el nodo LaunchURL (UKismetSystemLibrary::LaunchURL): el filtro de esquemas de URL está vacío y permite todos los esquemas. En Windows se llama a ShellExecuteW() con el verbo open, por lo que un URI file:/// ejecuta el archivo referenciado; cualquier juego que cargue contenido de usuario con Blueprints es vulnerable a ejecución de comandos mediante un archivo local malicioso o remoto en un recurso compartido…

Productos y versiones afectadas

• Epic Games Unreal Engine

  • hasta 5.8.0

Qué hacer

1. Verificá si usás Unreal Engine y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.7 ALTA

CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

Epic Games Unreal Engine versions up to and including 5.8.0 ship with an insecure default configuration for the LaunchURL Blueprint node (UKismetSystemLibrary::LaunchURL). The URL scheme filter (FURLRequestFilter) is empty by default, which permits all URL schemes. On Windows, this results in a call to ShellExecuteW() with the open verb, so a supplied file:/// URI causes the referenced file to be executed. Any Unreal Engine game that loads user-generated content containing Blueprints is vulnerable to command execution via a malicious local file or a remote file on a WebDAV share. This is an instance of CWE-1188 (Initialization of a Resource with an Insecure Default).

Referencias

• khaelkugler.com/blogs/meccha_chameleon.htmlRELATED
• takeonme.org/gcves/GCVE-1337-2026-0000000000000000000000000000000000000000000000000101111…THIRD-PARTY-ADVISORY

Historial de la alerta

1. 14 OCT · 01:18VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.