PT-2022-1947 · Kingsoft · Wps Office

Eiji James Yoshida · Publicado 2022-01-06 · Atualizado 2022-03-24 · CVE-2022-26081

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

WPS Office versão 10.8.0.5745

Descrição

O problema está relacionado ao carregamento inseguro da biblioteca dinâmica shcore.dll pelo instalador do WPS Office, permitindo que um invasor execute código arbitrário com os privilégios do usuário que invocou o instalador. Isso pode potencialmente levar à escalada de privilégios e à execução de código malicioso.

Recomendações

Para o WPS Office versão 10.8.0.5745, considere atualizar para uma versão mais recente que corrija este problema, pois a versão atual carrega a biblioteca shcore.dll de forma insegura, representando um risco de execução de código arbitrário.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Uncontrolled Search Path Element

Enumeração de Fraquezas

CWE-427

Identificadores relacionados

BDU:2022-01504

CVE-2022-26081

Produtos afetados

Wps Office

Referências · 7

• https://osv.dev/vulnerability/CVE-2022-26081 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-26081 · Nota de Segurança
• https://support.kingsoft.jp/support-info/weakness.html · Aviso do Fabricante
• https://t.me/cibsecurity/39165 · Publicação no Telegram
• https://jvn.jp/en/jp/JVN21234459 · Nota
• https://vuldb.com/ru/?id.195400 · Nota
• https://bdu.fstec.ru/vul/2022-01504 · Nota de Segurança