CVE-2026-97381 in Legacy Update
Tóm tắt
Bởi VulDB • 14/10/2026
Legacy Update là một công cụ để kích hoạt và cài đặt các bản cập nhật trên các máy tính Windows cũ. Từ phiên bản 1.12.0 đến 1.13.1 của Legacy Update chứa lỗi xác thực nguồn gốc trong phương thức IsPermitted của điều khiển ActiveX của nó. Sau khi đọc thành công tên máy chủ (hostname) của tài liệu lưu trữ, một hostname không nằm trong danh sách được phép sẽ vượt qua mà không đặt E_ACCESSDENIED, khiến IsPermitted trả về S_OK. Một kẻ tấn công có thể lợi dụng việc诱导 người dùng truy cập vào trang web độc hại trên Internet Explorer để gọi điều khiển này nhằm liệt kê thông tin cập nhật và hệ thống, cài đặt các bản cập nhật mà không cần sự đồng ý, hiển thị hộp thoại hoặc khởi động lại máy tính khi có yêu cầu khởi động lại. Vấn đề này đã được sửa chữa trong Legacy Update 1.13.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.