CVE-2026-115758
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
SumatraPDF to wieloformatowy czytnik dla systemu Windows. W wersji 3.6.1 i wcześniejszych funkcja HttpGet() w src/base/Http_win.cpp bezwarunkowo przekazuje INTERNET_FLAG_IGNORE_CERT_CN_INVALID do WinINet, wyłączając dopasowywanie nazw hostów dla metadanych aktualizacji HTTPS i żądań symboli awarii, zachowując jednocześnie weryfikację łańcucha certyfikatów. Osoba atakująca umiejscowiona w sieci posiadająca zaufany certyfikat systemu Windows dla domeny kontrolowanej przez osobę atakującą może podszyć się pod hosta aktualizacji projektu, wstawić tekst promocyjny i klikalny adres URL przed sprawdzeniem metadanych aktualizacji oraz udostępnić archiwum kontrolowane przez osobę atakującą do funkcji ExtractSymbols(). Wymiana instalatora nie jest bezpośrednio możliwa, ponieważ funkcja HttpGetToFile() sprawdza poprawność TLS, a MaybeStartUpdateDownload() ogranicza hosta pobierania. W chwili tej recenzji nie jest dostępna żadna naprawiona wersja.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org