Šta se desilo?

Objavljena je ranjivost CVE-2026-105293 u Legcordu koja omogućava izlazak iz predviđenog direktorijuma tema. Preduslov je da napadač već može da izvršava skriptu u ugrađenoj Discord stranici, na primer preko zasebnog XSS propusta. Sam prijem poruke ili korišćenje aplikacije nije dovoljan uslov opisanog napada.

Koga pogađa?

Prema CVE zapisu, pogođen je ceo opseg Legcord verzija od 1.1.0 do 1.3.0, uključujući međuverzije. Istraživač je u prijavi naveo proveru na lokalnoj Windows instalaciji. Pogođeni korisnici treba da prate zvaničnu potvrdu ispravke.

Kako se zaštititi?

  • Do potvrđene zakrpe razmotrite privremeni prestanak korišćenja pogođenog Legcord izdanja, naročito na uređajima sa osetljivim podacima.
  • Instalirajte izdanje za koje projekat izričito potvrdi ispravku ovog propusta. Nije dovoljno pretpostaviti da će bilo koja verzija novija od 1.3.0 automatski sadržati zakrpu.
  • Ne pokrećite neproverene skripte i izmene klijenta. Izbegavanje nepoznatih tema samo po sebi ne uklanja ranjivost IPC rukovalaca.
  • Održavajte rezervne kopije važnih datoteka i proverite neuobičajene promene ako sumnjate da je uređaj kompromitovan.

Tehnički detalji

Problem je klasifikovan kao CWE-22, odnosno path traversal. Rukovaoci themes.folder, themes.uninstall i themes.install prihvataju neproverene identifikatore tema. Skripta koja se izvršava u Discord poreklu može ih zloupotrebiti za pokretanje lokalnih izvršnih datoteka, rekurzivno brisanje direktorijuma i upis izvan direktorijuma tema.

VulnCheck je dodelio osnovnu CVSS 4.0 ocenu 9.2, kritično. NVD prikazuje tu ocenu kao podatak CNA organizacije. Pri proveri 7. oktobra 2026. najnovije označeno izdanje projekta bilo je 1.3.0, a prijava nije navodila objavljenu ispravku. U proverenim izvorima nije potvrđena aktivna eksploatacija.

Zašto je važno?

Propust može pretvoriti izvršavanje skripte u veb-sadržaju aplikacije u opasne operacije nad lokalnim datotekama. Zato je važno razlikovati početni uslov napada od njegovih posledica.

Preporuka Sajber Radara

Proverite verziju i privremeno smanjite izloženost pogođenog klijenta. Povratak na njega planirajte nakon jasne potvrde projekta da je ranjivost ispravljena.