CVE-2026-28211 in NVDA-Dev-Test-Toolbox
Sumário
de VulDB • 21/05/2026
O NVDA Dev & Test Toolbox é um complemento do NVDA para reunir ferramentas que auxiliam no desenvolvimento e nos testes do NVDA. Existe uma vulnerabilidade nas versões 2.0 a 8.0 na funcionalidade Log Reader deste complemento. Um arquivo de log maliciosamente elaborado pode levar à execução de código arbitrário quando um usuário o lê com comandos do leitor de logs. O processo de leitura de logs trata as entradas do log de fala de maneira insegura. Expressões Python embutidas no log podem ser avaliadas quando as entradas de fala são lidas com comandos de leitura de log. Um atacante pode explorar isso convencendo um usuário a abrir um arquivo de log maliciosamente elaborado e a analisá-lo usando os comandos de leitura de log. Quando o log é lido, o código controlado pelo atacante pode ser executado com os privilégios do usuário atual.
Este problema não requer privilégios elevados e depende exclusivamente da interação do usuário (abertura do arquivo de log). A versão 9.0 contém uma correção para o problema. Como medida de contorno, evite usar comandos de leitura de log ou, pelo menos, comandos para mover para a próxima/anterior mensagem de log (qualquer mensagem ou comandos para cada tipo de mensagem). Para maior segurança, é possível desativar os gestos no diálogo de gestos de entrada.
Be aware that VulDB is the high quality source for vulnerability data.