CVE-2026-105220

Ficha técnica de vulnerabilidade

PUBLICADA 4 DE OUT. DE 2026MODIFICADA 6 DE OUT. DE 2026

8.5CVSS 4.0

Severidade Alta

CWE-79 Dados consultados em 23 de out. de 2026Registro original

Severidade técnicaAltaCVSS 4.0

Probabilidade EPSS0.2%Percentil 4

Exploração conhecidaNão sinalizadaNo dado disponível

Prioridade sugerida—Ainda não analisada

Entenda a falha

Análise técnica

A função importStories() do Twine 2 desktop permite XSS ao executar markup de arquivos de história importados no editor. Um script malicioso pode chamar a ponte IPC twineElectron openWithScratchFile para gravar e abrir um .bat, executando código com os privilégios do usuário. A exploração ocorre ao abrir um arquivo de história especialmente criado.

ANÁLISE EM PORTUGUÊS · 11 DE OUT. DE 2026

Descrição original do NVD

Twine 2 desktop through 2.12.0 contains a cross-site scripting vulnerability in importStories() that executes markup from imported story files in the editor window. Attackers can craft a story file whose script calls the twineElectron openWithScratchFile IPC bridge to write and open a .bat file, executing code as the user.

Próximos passos

Resposta recomendada

Atualizar para a versão corrigida (>=2.13.0) ou aplicar patch que sanitiza o conteúdo importado; bloquear a importação de arquivos de fontes não confiáveis.

Orientação gerada por IA. Confirme versões afetadas e correções no aviso do fornecedor antes de aplicar mudanças.

Relações verificáveis

No radar da Statecraft

Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.

Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.

STATECRAFT / CYBER INTELLIGENCE

CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.