Ascendara 11.6.0 命令注入漏洞公开复现

安全研究人员公开了 Ascendara 11.6.0（commit 88f2e323cd58213975806a4cb62d5496f1e136c7）在 Windows 上的 CWE-78 命令注入漏洞的 PoC 与复现步骤，并给出了修复代码。 该漏洞的触发条件是：游戏压缩包通过 ascendara:// 深链、浏览器扩展下载交接、游戏索引、私有源或种子等任一入口下载完成后，默认开启的 autoCreateShortcuts 设置会让程序自动调用 createGameShortcut，无需用户进一步交互；脚本以 powershell.exe -ExecutionPolicy Bypass -File 执行，攻击者可通过构造下载内容注入 PowerShell 命令。 公开材料称，单个网页即可触发 ascendara://https://attacker.example/game.zip 形式的深链下载。目前影响范围限于上述版本的 Windows 平台。

AI 根据报道生成 · 45 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。