pbi-cli 3.10.1 through 3.12.0 contains an OS command injection vulnerability in desktop_sync.py that passes unquoted .pbip paths to cmd /c start when reopening projects. Attackers can lure victims into opening a Power BI project from a space-free path containing & to run commands with victim privileges during report write or reload.
| CVE | CVE-2026-108744 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.0 / 10 |
| CWE | CWE-78 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
pbi-cli 3.10.1 – 3.12.0
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
T1190 – Exploit Public-Facing ApplicationT1059 – Command and Scripting Interpreter
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.