PT-2026-110900
CVE-2026-109422
·
تاريخ النشر
2026-10-12
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
NetEase Cloud Music client for Windows (cloudmusic.exe) الإصدارات من 3.1.38 إلى 3.1.39.205426
الوصف
توجد ثغرة تنفيذ عن بُعد للكود في جسر IPC لعملية التصيير
os.navigateExternal والذي يمرر عناوين URL المقدمة من المستدعي إلى دالة ShellExecuteW() دون التحقق من مخطط URL. يمكن للمهاجم حقن محتوى في عملية التصيير عن طريق تزوير استجابة نقطة نهاية واجهة برمجة التطبيقات '/pc/upgrade/get' باستخدام مفتاح AES معروف عبر اتصال TLS غير مصدق. يتيح ذلك للمهاجم استدعاء os.navigateExternal باستخدام عنوان URL من نوع file:// عبر حمولة img onerror لتنفيذ ملفات ثنائية محلية عشوائية تحت حساب المستخدم المسجل دخوله.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾