| CVE ID | CVE-2026-106030 |
| Data publikacji | 16 października 2026 |
| Producent podatnego oprogramowania | Nord Security |
| Nazwa podatnego oprogramowania | NordVPN |
| Podatne wersje | Wszystkie poniżej 8.12 |
| Typ podatności (CWE) | Incorrect Authorization (CWE-863) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu NordVPN i koordynował proces ujawniania informacji.
Podatność CVE-2026-106030: W oprogramowaniu NordVPN dla systemu Windows zidentyfikowano podatność związaną z brakiem odpowiedniej kontroli dostępu do nazwanego potoku \\.\pipe\nord-security\v1\NordVpnService\Server. Lokalny atakujący z niskimi uprawnieniami może za pomocą aplikacji działać jako zaufany proces i połączyć się z tym potokiem a następnie wywołać metody ISettingsGrpc.StopService i ISettingsGrpc.ChangeServiceStartType z dowolną nazwą usługi. Umożliwia to zatrzymywanie dowolnych, niechronionych usług systemowych Windows i zmianę ich typu uruchomienia, co może ułatwić dalszą eksploitację systemu.
Problem ten został naprawiony w wersji 8.12.
Podziękowania
Za zgłoszenie podatności dziękujemy Marcinowi Resselowi.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.