در نرم‌افزار Aegisub که یک ویرایشگر پیشرفته و چندپلتفرمی برای زیرنویس است، یک آسیب‌پذیری امنیتی با شناسه CVE-2026-92705 شناسایی شده است که می‌تواند منجر به اجرای کد دلخواه (Arbitrary Code Execution) شود.
جزئیات فنی آسیب‌پذیری
بررسی‌ها نشان می‌دهد در نسخه‌های 3.2.0 تا 3.4.2، این نرم‌افزار اسکریپت‌های اتوماسیون (Automation scripts) ارجاع شده در متادیتای Automation Scripts در پروژه‌های زیرنویس با فرمت ASS را به‌طور خودکار بارگذاری می‌کند. این فرآیند بدون دریافت تاییدیه یا پرسش از کاربر در مورد اعتماد به اسکریپت‌ها یا نویسندگان آن‌ها انجام می‌شود.
سناریوی حمله
یک مهاجم (Threat Actor) می‌تواند یک فایل ASS دستکاری‌شده را به همراه یک اسکریپت اتوماسیون مخرب طراحی کند. در صورتی که کاربر این فایل را در Aegisub باز کند، اسکریپت مخرب با سطح دسترسی‌های جاریِ فرآیند Aegisub اجرا خواهد شد که در نهایت منجر به RCE (Remote Code Execution) می‌گردد.
- نسخه‌های آسیب‌پذیر: 3.2.0 تا 3.4.2
- نوع حمله: اجرای کد از طریق فایل‌های ورودی مخرب
- سطح دسترسی: برابر با سطح دسترسی کاربر اجراکننده نرم‌افزار
