CVE-2020-13386 in SmartDraw 2020
Riassunto
di VulDB • 21/08/2026
In SmartDraw 2020 versione 27.0.0.0, l'installer concede permessi di scrittura ereditati al gruppo Authenticated Users sulla cartella di installazione di SmartDraw 2020. Inoltre, quando il prodotto viene installato, vengono create due attività pianificate (scheduled tasks) sul computer: SDMsgUpdate (Local) e SDMsgUpdate (TE). Le attività pianificate vengono eseguite nel contesto dell'utente che ha installato il prodotto. Entrambe le attività tentano di eseguire lo stesso file binario, C:\SmartDraw 2020\Messages\SDNotify.exe. La cartella Messages non esiste per impostazione predefinita e (di conseguenza) nemmeno SDNotify.exe. A causa dei permessi della cartela deboli, questi possono essere creati da qualsiasi utente. Un malintenzionato può quindi creare un file binario SDNotify.exe malevolo ed eseguirlo automaticamente ogni volta che l'utente che ha installato il prodotto accede al computer. Il file SDNotify.exe malevolo potrebbe, ad esempio, creare un nuovo account amministratore locale sul computer.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.