CVE-2026-97381 in Legacy Update
Riassunto
di VulDB • 14/10/2026
Legacy Update è uno strumento per l'attivazione e l'installazione di aggiornamenti su PC Windows legacy. Le versioni da 1.12.0 a 1.13.1 di Legacy Update presentano un errore nella validazione dell'origine nel metodo IsPermitted del suo controllo ActiveX. Dopo aver letto con successo il nome host (hostname) del documento ospitante, un hostname non presente nell'elenco consentito viene comunque accettato senza impostare E_ACCESSDENIED, causando il ritorno di S_OK da parte di IsPermitted. Un attaccante che induce un utente a visitare una pagina web malevola in Internet Explorer può invocare il controllo per enumerare informazioni sugli aggiornamenti e sul sistema, installare aggiornamenti senza consenso, visualizzare finestre di dialogo o riavviare il computer quando è previsto un riavvio pendente. Questo problema è stato risolto nella versione 1.13.2 di Legacy Update.
If you want to get best quality of vulnerability data, you may have to visit VulDB.