CVE-2026-107448: небезопасный вызов URI-схем в Magic: The Gathering Arena
В клиенте Magic: The Gathering Arena для Windows и Steam обнаружена уязвимость, связанная с передачей серверного URL напрямую в Windows shell без проверки схемы и домена. Проблема затрагивает версии 2026.59.30.12801.127931.6 и отдельные сборки 2026.60.x. Критичность оценена как низкая (CVSS 3.4).
Подробности
Уязвимость затрагивает клиент Magic: The Gathering Arena для Windows и Steam в версии 2026.59.30.12801.127931.6, а также в некоторых более поздних сборках ветки 2026.60.x. Проблема кроется в механизме обработки действия GoToExternalUrl, которое используется в карусели на главном экране игры. Клиент получает URL-адрес от сервера и передаёт его напрямую в Windows shell через вызовы Application.OpenURL/ShellExecuteW, не выполняя при этом проверку URI-схемы и домена назначения. В результате, если злоумышленник hypothetically получает контроль над содержимым карусели, доставляемым клиентам, он может инициировать вызов произвольных зарегистрированных в системе обработчиков URI-схем на хостах пользователей. При этом взаимодействие с пользователем не требуется. В описании уязвимости приводится наглядный пример: предполагается, что контент карусели должен содержать только ссылки со схемой https:, однако клиент не блокирует, например, схему ms-calculator:, что демонстрирует отсутствие валидации. Стоит подчеркнуть, что для эксплуатации требуется компрометация или подмена серверного контента, доставляемого в игру. Именно поэтому базовая оценка CVSS составляет всего 3.4 — вектор атаки предполагает наличие дополнительных условий, выходящих за рамки типовой модели угроз для конечного пользователя. Тем не менее отсутствие проверки схемы и домена является классической ошибкой безопасной разработки, которая может привести к нежелательным последствиям в случае компрометации инфраструктуры доставки контента.Что делать
Основная рекомендация — обновить клиент Magic: The Gathering Arena до актуальной версии, в которой разработчик устранил проблему. Поскольку уязвимость связана с обработкой серверных данных, пользователям не требуется предпринимать дополнительных действий, кроме установки свежего обновления. Если обновление по каким-то причинам недоступно, можно рассмотреть временные митигации на уровне операционной системы: ограничение набора зарегистрированных URI-схем, доступных для вызова из непривилегированных процессов, а также применение средств контроля целостности и мониторинга необычных запусков приложений через shell-обработчики. Однако такие меры носят вспомогательный характер и не заменяют установку патча. Организациям, использующим корпоративные политики безопасности, рекомендуется проверить, нет ли в их среде ограничений на исходящие подключения к серверам обновлений игры, и убедиться, что клиенты получают контент только из доверенных источников. Итог: CVE-2026-107448 — показательный пример того, как отсутствие валидации URI-схемы при обработке внешних данных превращает клиентское приложение в потенциальный вектор для вызова произвольных обработчиков. Несмотря на низкую оценку CVSS, инцидент подчёркивает важность принципа «не доверяй входным данным» даже при работе с контентом, который кажется безопасным по умолчанию. Пользователям Magic: The Gathering Arena следует своевременно устанавливать обновления клиента.Источник: CVE Project (cvelistV5)