CVE-2026-28211

NVDA Dev & Test Toolbox, NVDA geliştirme ve testlerine yardımcı araçlar topluluğu olan bir NVDA eklentisidir. Bu eklentinin Log Reader özelliğinin 2.0 ile 8.0 arasındaki sürümlerinde bir güvenlik açığı bulunmaktadır. Kötü niyetle hazırlanmış bir günlük dosyası, kullanıcı bunu log reader komutlarıyla okuduğunda rastgele kod çalıştırılmasına yol açabilir. Günlük okuma komutu süreci, konuşma günlüğü girişlerini güvenli olmayan bir şekilde işlemektedir. Konuşma girişleri günlük okuma komutlarıyla okunduğunda, günlüğe gömülmüş Python ifadeleri değerlendirilebilir. Bir saldırgan, bir kullanıcıyı kötü niyetle hazırlanmış bir günlük dosyasını açmaya ve bunu günlük okuma komutlarını kullanarak analiz etmeye ikna ederek bu durumu istismar edebilir. Günlük okunduğunda, saldırgan tarafından kontrol edilen kod mevcut kullanıcının ayrıcalıklarıyla yürütülebilir. Bu sorun yüksek ayrıcalıklar gerektirmez ve yalnızca kullanıcı etkileşimine (günlük dosyasının açılmasına) dayanır. Sürüm 9.0, sorun için bir düzeltme içermektedir. Geçici bir çözüm olarak, günlük okuma komutlarını veya en azından bir sonraki/önceki günlük mesajına geçiş komutlarını (herhangi bir mesaj veya her mesaj türü için kullanılan komutlar) kullanmaktan kaçının. Daha fazla güvenlik için, girdi jestleri iletişim kutusundan jestler devre dışı bırakılabilir.