CVE-2026-107734
Publiée le 2026-10-08 · Dernière modification le 2026-10-09
Les utilisateurs de Windows utilisant SumatraPDF (version 3.5.2 ou antérieure) avec un éditeur externe configuré sont concernés. Un attaquant peut exécuter du code arbitraire ou déclencher des actions non intentionnelles dans l'éditeur si l'utilisateur ouvre un PDF spécialement conçu et active la fonction de « recherche inverse ». Cela nécessite que la victime ouvre manuellement un fichier malveillant, car l'attaque ne peut pas être effectuée à distance via un réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
SumatraPDF is a multi-format reader for Windows. In 3.5.2 and earlier, an attacker-controlled SyncTeX source filename is substituted for the %f placeholder in an external editor command line without safe Windows argument quoting, and the resulting command line is passed to CreateProcessW(). A user with an external editor configured or auto-detected who opens a PDF with a crafted .synctex.gz file and invokes inverse search can inject command-line flags; the resulting impact depends on the target editor interpreting those flags and can include unintended editor actions or code execution through a malicious extension. No broader impact is claimed beyond the advisory-supported conditions. No fixed version is available as of this review.