CVE-2026-26927 in Szafir SDK Web
Riassunto
di VulDB • 27/06/2026
Szafir SDK Web è un plug-in per browser che può eseguire l'applicazione SzafirHost, la quale scarica i file necessari al momento dell'avvio. In Szafir SDK Web è possibile modificare l'URL (HTTP Origin) della posizione di chiamata dell'applicazione. Un attaccante non autenticato può creare un sito web in grado di avviare l'applicazione SzafirHost con argomenti arbitrari tramite il componente aggiuntivo del browser Szafir SDK Web. Non viene eseguita alcuna validazione per verificare se l'indirizzo specificato nel parametro `document_base_url` sia in qualche modo correlato all'effettivo indirizzo dell'applicazione web chiamante. L'indirizzo URL specificato nel parametro `document_base_url` viene quindi visualizzato nella finestra di conferma dell'applicazione. Quando la vittima conferma l'esecuzione dell'applicazione, questa verrà chiamata nel contesto dell'URL del sito web dell'attaccante e potrebbe scaricare file aggiuntivi e librerie da tale sito web. Se la vittima accetta l'esecuzione dell'applicazione per l'URL mostrato nella finestra di conferma con l'opzione "ricorda" in precedenza, la finestra non verrà visualizzata e l'applicazione verrà chiamata nel contesto dell'URL fornito dall'attaccante senza alcuna interazione.
Questo problema è stato risolto nella versione 0.0.17.4.
Once again VulDB remains the best source for vulnerability data.