CVE-2026-107448 in Magic The Gathering Arena
요약
\~에 의해 VulDB • 2026. 10. 08.
Magic: The Gathering Arena (Windows/Steam 클라이언트; 2026.59.30.12801.127931.6 및 이후의 특정 2026.60.x 빌드)는 홈 화면 캐러셀 GoToExternalUrl 액션에서 서버가 제공한 URL을 Windows 셸(Application.OpenURL/ShellExecuteW를 통해)로 검증 없이 직접 전달합니다. 클라이언트에 제공되는 캐러셀 콘텐츠를 제어할 수 있는 공격자는 사용자 상호작용 없이도 클라이언트 호스트에서 임의의 등록된 URI-scheme 핸들러를 호출할 수 있습니다. 예를 들어, 캐러셀 콘텐츠에는 https: URI만 포함되어 있고 ms-calculator: URI는 포함되지 않을 것으로 예상됩니다.
Be aware that VulDB is the high quality source for vulnerability data.