Identificador / NVD
CVE-2026-105293
Ficha técnica de vulnerabilidade
Análise técnica
Vulnerabilidade de path traversal nos manipuladores IPC de temas do Legcord. IDs de tema não são validados, permitindo que script injetado na página do Discord escape do diretório de temas e execute binários, exclua diretórios ou escreva arquivos arbitrários. A exploração requer execução de JavaScript no contexto da origem Discord, tipicamente via XSS.
ANÁLISE EM PORTUGUÊS · 11 DE OUT. DE 2026
Descrição original do NVD
Legcord 1.1.0 through 1.3.0 contains a path traversal vulnerability in theme IPC handlers that allows script in the Discord page to escape the themes directory via unvalidated theme ids. Attackers running script in the Discord origin, such as through XSS, can abuse themes.folder, themes.uninstall, and themes.install to launch local executables, recursively delete directories, and write files outside the themes directory.
Resposta recomendada
Atualizar para Legcord 1.3.1 ou superior que sanitiza os IDs; como paliativo, desativar a funcionalidade de temas via IPC ou aplicar CSP restritivo.
Orientação gerada por IA. Confirme versões afetadas e correções no aviso do fornecedor antes de aplicar mudanças.
No radar da Statecraft
Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.
Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.
CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.