SumatraPDF Insecure Update PoC

CVE-2026-25961 – Удаленное выполнение кода через вредоносный сервер обновлений

Автор: Mohammed Idrees Banyamer

---

Дата: февраль 2026
CVE: CVE-2026-25961
GHSA: GHSA-xpm2-rr5m-x96q
CVSS v3.1: 7.5 High (AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H)
Затронутые версии: SumatraPDF 3.5.0 – 3.5.2
Протестировано на: Windows 10 / Windows 11

Уязвимость

Версии SumatraPDF с 3.5.0 по 3.5.2 отключают проверку имени хоста TLS во время проверки автоматического обновления и не проверяют цифровую подпись или целостность загружаемого установщика.

Злоумышленник, находящийся в сети, может:

• Перехватить / подделать запрос к https://www.sumatrapdfreader.org/update-check-rel.txt
• Вернуть поддельный ответ, указывающий на исполняемый файл, контролируемый злоумышленником
• Когда пользователь нажимает «Установить», SumatraPDF выполняет файл через CreateProcess

Реалистичные векторы атаки: мошеннический Wi-Fi, скомпрометированный домашний/офисный роутер, перехват DNS, инъекция через прозрачный прокси и т. д.

Возможности этого PoC