PT-2026-136920
CVE-2026-120422
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 4.0
8.9
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:N/AU:X/R:U/V:D/RE:M/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
Sogou Input Method for Windows الإصدارات السابقة إلى 16.10
الوصف
يحتوي مكون SGTool.exe على خلل في آلية استرداد التكوين. يقوم التطبيق باسترداد بيانات التكوين عبر اتصالات HTTP غير مشفرة، مما يسمح للمهاجم القادر على التلاعب بحركة مرور الشبكة باستبدال استجابات الخادم المشروعة بتكوينات خبيثة. يمكن استخدام ذلك لتوجيه SGTool.exe لتنزيل ملفات يتحكم فيها المهاجم إلى مواقع عشوائية، بما في ذلك المسارات المستخدمة من قبل مكونات التطبيق المشروعة، مما يؤدي إلى تنفيذ رمز عشوائي عند تنفيذ تلك الملفات أو تحميلها. تتضمن المشكلة استخدام بروتوكول Duplex Message Transport Protocol (DMTP)، وهو بروتوكول اتصال يستخدم للقيادة والسيطرة، ويدعم إضافات نمطية لسرقة البيانات والاستمرارية.
التوصيات
التحديث إلى الإصدار 16.10 أو أحدث لفرض استخدام HTTPS عبر نقاط نهاية التحديث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾