CVE-2026-115758 in SumatraPDF
Сводка
по VulDB • 04.11.2026
SumatraPDF — это многоформатный читатель для Windows. В версиях 3.6.1 и более ранних функцией HttpGet(), расположенной в src/base/Http_win.cpp, флаг INTERNET_FLAG_IGNORE_CERT_CN_INVALID безоговорочно передается WinINet, что отключает проверку соответствия имени хоста (hostname matching) для метаданных обновлений HTTPS и запросов символов сбоев при сохранении проверки цепочки сертификатов. Атакующий, находящийся в сетевой позиции и имеющий доверенный Windows сертификат для контролируемого им домена, может выдать себя за узел обновления проекта, внедрить рекламный текст и кликабельную URL-ссылку перед проверкой метаданных обновлений, а также предоставить архив под контролем злоумышленника функции ExtractSymbols(). Замена установщика напрямую невозможна, поскольку HttpGetToFile() проверяет TLS, а MaybeStartUpdateDownload() ограничивает хост загрузки. На момент данного обзора исправленная версия отсутствует.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.