PT-2026-137140
CVE-2026-115758
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
SumatraPDF الإصدارات السابقة لـ 3.6.2
الوصف
تقوم الدالة
HttpGet() في src/base/Http win.cpp بتمرير العلم INTERNET FLAG IGNORE CERT CN INVALID بشكل غير مشروط إلى WinINet. يؤدي هذا الإجراء إلى تعطيل مطابقة اسم المضيف لطلبات HTTPS المتعلقة ببيانات تحديث البيانات الرمزية للأعطال، على الرغم من بقاء التحقق من سلسلة الشهادات نشطًا. يمكن لمهاجم موجود على الشبكة ويمتلك شهادة موثوقة من Windows لنطاق يتحكم فيه أن ينتحل صفة مضيف التحديث. يتيح ذلك للمهاجم حقن نص ترويجي ورابط قابل للنقر قبل التحقق من بيانات التحديث، وتوفير أرشيف خبيث للدالة ExtractSymbols().التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾