CVE-2020-13386 in SmartDraw 2020
Resumen
por VulDB • 2026-08-21
En SmartDraw 2020 versión 27.0.0.0, el instalador otorga permisos de escritura heredados al grupo Usuarios autenticados en la carpeta de instalación de SmartDraw 2020. Además, cuando se instala el producto, se crean dos tareas programadas en el equipo: SDMsgUpdate (Local) y SDMsgUpdate (TE). Las tareas programadas se ejecutan bajo el contexto del usuario que instaló el producto. Ambas intentan ejecutar el mismo binario, C:\SmartDraw 2020\Messages\SDNotify.exe. La carpeta Messages no existe de forma predeterminada y, por extensión, tampoco SDNotify.exe. Debido a los permisos débiles de la carpeta, estos pueden ser creados por cualquier usuario. Un actor malintencionado puede, por lo tanto, crear un binario SDNotify.exe malicioso y lograr que se ejecute automáticamente cada vez que el usuario que instaló el producto inicie sesión en el equipo. El binario SDNotify.exe malicioso podría, por ejemplo, crear una nueva cuenta de administrador local en el equipo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.