PoC de mise à jour non sécurisée de SumatraPDF

CVE-2026-25961 – Exécution de code à distance via un serveur de mise à jour malveillant

Auteur : Mohammed Idrees Banyamer

---

Date : Février 2026
CVE : CVE-2026-25961
GHSA : GHSA-xpm2-rr5m-x96q
CVSS v3.1 : 7.5 Élevé (AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H)
Versions concernées : SumatraPDF 3.5.0 – 3.5.2
Testé sur : Windows 10 / Windows 11

Vulnérabilité

Les versions 3.5.0 à 3.5.2 de SumatraPDF désactivent la validation du nom d'hôte TLS lors de la vérification de mise à jour automatique et ne vérifient ni la signature numérique ni l'intégrité du programme d'installation téléchargé.

Un attaquant positionné sur le réseau peut :

• Intercepter / usurper la requête vers https://www.sumatrapdfreader.org/update-check-rel.txt
• Renvoyer une réponse falsifiée pointant vers un exécutable contrôlé par l'attaquant
• Lorsque l'utilisateur clique sur « Installer », SumatraPDF exécute le fichier via CreateProcess

Vecteurs d'attaque réalistes : Wi-Fi malveillant, routeur domestique/professionnel compromis, détournement DNS, injection par proxy transparent, etc.