CVE-2026-28211 in NVDA-Dev-Test-Toolbox
要約
〜によって VulDB • 2026年05月21日
NVDA Dev & Test Toolboxは、NVDAの開発およびテストを支援するためのツールを収集したNVDAアドオンです。このアドオンのLog Reader機能には、バージョン2.0から8.0にかけて脆弱性が存在します。悪意を持って作成されたログファイルを読み取ると、ユーザーがログ読み取りコマンドを使用してそれを読み込んだ際に、任意のコードの実行を招く可能性があります。ログ読み取りコマンドのプロセスは、音声ログエントリを安全でない方法で処理します。ログに埋め込まれたPython式は、ログ読み取りコマンドを使用して音声エントリを読み込む際に評価される場合があります。攻撃者は、ユーザーを説得して悪意を持って作成されたログファイルを開かせ、ログ読み取りコマンドを使用してそれを分析させることで、この脆弱性を悪用できます。ログが読み込まれると、攻撃者が制御するコードが現在のユーザーの権限で実行される可能性があります。
この問題は、昇格された権限を必要とせず、ユーザーの操作（ログファイルを開くこと）にのみ依存しています。バージョン9.0には、この問題に対する修正が含まれています。回避策として、ログ読み取りコマンドの使用を避けるか、少なくとも次の/前のログメッセージに移動するコマンド（各メッセージタイプに対する任意のメッセージまたはコマンド）の使用を避けてください。より高いセキュリティを得るために、入力ジェスチャダイアログでジェスチャを無効にすることができます。
Be aware that VulDB is the high quality source for vulnerability data.