Unknown · Szafir Sdk Web · CVE-2026-26927
Name of the Vulnerable Software and Affected Versions
Szafir SDK Web versões anteriores a 0.0.17.4
Description
O plug-in do navegador Szafir SDK Web permite o lançamento da aplicação SzafirHost, que baixa os arquivos necessários ao executar. Um atacante não autenticado pode manipular a URL (Origem HTTP) do local de chamada da aplicação. Especificamente, o parâmetro `document base url` não possui validação, permitindo que um atacante crie um site que lance o SzafirHost com argumentos arbitrários. A URL controlada pelo atacante é exibida em um prompt de confirmação da aplicação. Se uma vítima confirmar a execução, a aplicação será executada no contexto do site do atacante, baixando potencialmente arquivos e bibliotecas maliciosos. Aceitar a execução com a opção 'lembrar' ignora o prompt, permitindo a execução silenciosa no contexto do atacante.
Recommendations
Atualize o Szafir SDK Web para a versão 0.0.17.4 ou posterior.