CVE-2026-107737

SumatraPDF przed wersją 3.6 zawiera lukę w funkcji MobiDoc::ParseHeader, gdzie dekoder tworzony jest z długością stałą, a nie rzeczywistą długością bufora. Złośliwy plik MOBI może spowodować odczyt poza buforem, co prowadzi do awarii aplikacji (crash).

SumatraPDF w wersji 3.6.1 i wcześniejszych w pliku src/SelectionTranslate.cpp osadza zaznaczony lub wklejony tekst tłumaczenia w cytowanych wierszach poleceń Windows, stosując niekompletne escapowanie cudzysłowów. Funkcje BuildGrokTranslateCmdLineTemp(), BuildClaudeTranslateCmdLineTemp() i BuildCodexTranslateCmdLineTemp() mogą pozwolić tekstowi kontrolowanemu przez atakującego na wstrzyknięcie flag modelu, katalogu roboczego, zatwierdzania lub obejścia sandboxa, gdy odpowiedni backend CLI agenta jest zainstalowany i używany.

SumatraPDF w wersji 3.6.1 i wcześniejszych zawiera podatność w ChmFile::GetCharZ(), gdzie niekontrolowane offsety z plików CHM są zawężane do liczb ze znakiem bez sprawdzenia dolnego zakresu. Może to prowadzić do odczytu przed buforem /#STRINGS i deterministycznego zakończenia aplikacji.

SumatraPDF w wersji 3.6.1 i wcześniejszych zawiera podatność w MaybeFlipBitmap(), gdzie GDI+ odczytuje rozmiar PropertyTagOrientation kontrolowany przez atakującego do stałego 64-bajtowego bufora na stosie. Otwarcie spreparowanego pliku TIFF może prowadzić do nadpisania danych sterujących na stosie, choć w testowanych buildach proces kończy się przez kontrolę cookie stosu.

SumatraPDF w wersji 3.6.1 i wcześniejszych zawiera podatność w InitializePolicies(), gdzie ścieżka sumatrapdfrestrict.ini zaczyna się od gPolicyRestrictions ustawionego na Perm::All i tylko dodaje bity uprawnień, więc plik INI nigdy nie odbiera uprawnień. Wdrożenie z tym plikiem INI, w tym z błędnym plikiem lub zerowymi ustawieniami, może cicho ominąć skonfigurowane ograniczenia dysku, sieci, drukowania, rejestru, schowka, preferencji i pełnoekranowe.

SumatraPDF w wersji 3.5.2 i wcześniejszych podstawia nazwę pliku źródłowego SyncTeX kontrolowaną przez atakującego w miejsce symbolu zastępczego %f w wierszu poleceń zewnętrznego edytora bez bezpiecznego cytowania argumentów Windows, a wynikowy wiersz poleceń jest przekazywany do CreateProcessW(). Użytkownik z skonfigurowanym lub automatycznie wykrytym zewnętrznym edytorem, który otworzy PDF ze spreparowanym plikiem .synctex.gz i wywoła wyszukiwanie odwrotne, może wstrzyknąć flagi wiersza poleceń.

SumatraPDF w wersji 3.6.1 i wcześniejszych zawiera podatność w FrameOnCommand(), gdzie CmdExec przekazuje zerowy wskaźnik bieżącej karty do RunWithExe(), który dereferencjonuje WindowTab::filePath. Lokalny proces w tej samej sesji Windows, o poziomie integralności większym lub równym SumatraPDF, może wysłać CmdExec przez DDE lub WM_COPYDATA, gdy nie jest otwarta żadna karta dokumentu, powodując nagłe zakończenie procesu i utratę niezapisanych danych.

SumatraPDF w wersji 3.6.1 i wcześniejszych interpoluje niezaufane ścieżki dokumentów i cele linków PDF do tekstu powiadomień, który ParseTip() interpretuje jako zaufany znacznik podpowiedzi. Gdy użytkownik kliknie wstrzyknięty link, ExecuteTipLink() wywołuje polecenie CmdExec i może uruchomić lokalny program wybrany przez atakującego w kontekście użytkownika.

SumatraPDF w wersji 3.7.0.22298 zawiera cztery niezależnie osiągalne warianty walidacji zakresu w src/LitDoc.cpp, które pozwalają na przepełnienie, zawężenie do wartości ujemnych lub zawinięcie niekontrolowanych offsetów i rozmiarów przed niepełnymi kontrolami granic. Otwarcie spreparowanego pliku LIT może powodować nieprawidłowe odczyty wskaźników i deterministyczne zakończenie aplikacji.

SumatraPDF w wersji 3.7.0.22298 zawiera podatność w LitParseHeader() w src/LitDoc.cpp, gdzie obliczany jest offset sekcji hdrLen + nPieces * 16 przy użyciu arytmetyki ze znakiem 32-bitowym bez walidacji pełnego wyniku. Gdy suma przekroczy zakres i stanie się ujemna, konstrukcja wskaźnika prowadzi do nieprawidłowego odczytu w LitU32(), powodując deterministyczne zakończenie aplikacji.