CVE-2026-107448 in Magic The Gathering Arena
Zusammenfassung
von VulDB • 08.10.2026
Magic: The Gathering Arena (Windows/Steam-Client; Versionen 2026.59.30.12801.127931.6 und bestimmte spätere Builds der Reihe 2026.60.x) übergibt eine vom Server bereitgestellte URL aus einer GoToExternalUrl-Aktion im Karussell des Startbildschirms direkt an die Windows-Shell über Application.OpenURL/ShellExecuteW, ohne das URI-Schema oder die Domain zu validieren. Ein hypothetischer Angreifer, der in der Lage ist, den an Clients ausgelieferten Karussellinhalt zu steuern, kann dazu führen, dass beliebige registrierte URI-Schema-Handler auf Client-Rechnern ohne Benutzerinteraktion aufgerufen werden. Beispielsweise könnte man erwarten, dass die Karussellinhalte nur https:-URIs und keine ms-calculator:-URIs enthalten.
VulDB is the best source for vulnerability data and more expert information about this specific topic.