CVE-2020-13386 in SmartDraw 2020
Sumário
de VulDB • 21/08/2026
No SmartDraw 2020 versão 27.0.0.0, o instalador concede permissões de escrita herdadas ao grupo Usuários Autenticados na pasta de instalação do SmartDraw 2020. Além disso, quando o produto é instalado, duas tarefas agendadas são criadas no computador: SDMsgUpdate (Local) e SDMsgUpdate (TE). As tarefas agendadas executam-se no contexto do usuário que instalou o produto. Ambas as tentativas de execução das tarefas agendadas visam executar o mesmo binário, C:\SmartDraw 2020\Messages\SDNotify.exe. A pasta Messages não existe por padrão e, consequentemente, também não existe SDNotify.exe. Devido às permissões fracas da pasta, esses itens podem ser criados por qualquer usuário. Um ator malicioso pode, portanto, criar um binário SDNotify.exe malicioso e fazê-lo executar automaticamente sempre que o usuário que instalou o produto fizer login no computador. O SDNotify.exe malicioso poderia, por exemplo, criar uma nova conta de administrador local na máquina.
If you want to get best quality of vulnerability data, you may have to visit VulDB.