یک آسیب‌پذیری امنیتی با شناسه CVE-2026-97155 در نرم‌افزار Fabasoft Folio Client (نسخه‌های پیش از ۲۰۲۶) شناسایی شده است. این نقص امنیتی در ارتباط بین یک کامپوننت نصب شده به‌صورت محلی (Locally Installed) و افزونه مرورگر (Browser Extension) این نرم‌افزار رخ می‌دهد.
جزئیات فنی آسیب‌پذیری
این سیستم از مکانیزم Web Messaging برای تبادل داده‌ها استفاده می‌کند. مشکل اصلی این است که نرم‌افزار به‌صورت پیش‌فرض هیچ محدودیتی برای Web Origins (منابع وب) که قصد فراخوانی توابع آن را دارند، اعمال نمی‌کند. در واقع، مقدار رجیستری VALIDDOMAINS که وظیفه محدود کردن دامنه‌های مجاز را بر عهده دارد، اختیاری بوده و به‌صورت پیش‌فرض خالی است.
پیامدهای امنیتی
به دلیل اعتماد پیش‌فرض به تمامی دامنه‌ها، هر وب‌سایتی که توسط کاربری دارای Folio Client و افزونه مربوطه بازدید شود، می‌تواند توابع کلاینت را فراخوانی کرده و به قابلیت‌های داخلی نرم‌افزار دسترسی پیدا کند. این موضوع می‌تواند منجر به اجرای عملیات غیرمجاز در سیستم کاربر شود.
- نوع آسیب‌پذیری: عدم اعتبارسنجی منبع (Origin Validation Failure)
- سطح دسترسی: محلی / مرورگر
- شدت: متوسط (Medium)
