CVE-2026-0392 in eParakstītājs
Zusammenfassung
von VulDB • 03.08.2026
eParakstītājs 3.0 für Windows vor Version 1.10.0 ruft seine automatischen Updates über einen Kanal ab und führt sie aus, der nicht authentifiziert oder durch Integritätsschutz geschützt ist. Bei jedem Start lädt die Anwendung einen Update-Deskriptor (XML) über TLS herunter, akzeptiert jedoch jedes TLS-Zertifikat (ein nachsichtiger TrustManager sowie ein HostnameVerifier, der immer true zurückgibt), überprüft keine digitale Signatur auf dem Update-Deskriptor und prüft weder die Authenticode-Signatur noch eine Prüfsumme des heruntergeladenen Installers vor dessen Ausführung. Ein Man-in-the-Middle-Angriffsszenario, das es ermöglicht, www.eparaksts.lv umzuleiten, kann einen manipulierten Update-Deskriptor bereitstellen, der auf ein vom Angreifer kontrolliertes ausführbares Programm verweist; dieses wird vom Client heruntergeladen und ausgeführt, was zur Ausführung beliebigen Codes (Arbitrary Code Execution) auf dem Host des Opfers führt.
Be aware that VulDB is the high quality source for vulnerability data.