CVE-2026-0392

Nome do Software Vulnerável e Versões Afetadas eParakstītājs 3.0 for Windows versões anteriores a 1.10.0

Description O aplicativo recupera e executa atualizações automáticas por meio de um canal que carece de autenticação e proteção de integridade. Durante a inicialização, o software busca um descritor de atualização XML via TLS, mas utiliza um TrustManager permissivo e um HostnameVerifier que sempre retorna verdadeiro, aceitando efetivamente qualquer certificado TLS. Além disso, o aplicativo não verifica assinaturas digitais no descritor de atualização, nem a assinatura Authenticode ou o checksum do instalador baixado antes da execução. Um invasor man-in-the-middle capaz de redirecionar o tráfego de www.eparaksts.lv pode fornecer um descritor de atualização malicioso que direciona o cliente a baixar e executar um executável controlado pelo invasor, resultando na execução de código arbitrário no host.

Recommendations Atualize o eParakstītājs 3.0 for Windows para a versão 1.10.0 ou posterior.