CVE-2026-92839: двойное декодирование в deeplink-обработчике Canva Desktop

В десктопном приложении Canva выявлена уязвимость, связанная с некорректной обработкой deeplink-ссылок. Проблема получила идентификатор CVE-2026-92839 и оценку 4.3 по шкале CVSS, что соответствует среднему уровню опасности. Несмотря на умеренную оценку, уязвимость затрагивает логику работы с сессией пользователя, поэтому требует внимания со стороны служб информационной безопасности.

Подробности

Уязвимость затрагивает Canva Desktop версий до 1.125.0. Согласно описанию, в обработчике deeplink-ссылок применялось двойное декодирование входных данных. Это означает, что специально сформированная ссылка проходит процедуру декодирования дважды, из-за чего проверки, рассчитанные на однократную обработку, могут быть обойдены.

В результате атакующий способен заставить приложение загрузить произвольный контент того же origin (same-origin) в контексте активной сессии пользователя. Поскольку контент относится к тому же источнику, он воспринимается приложением как доверенный, что потенциально позволяет манипулировать отображаемым содержимым или выполнять действия от имени пользователя в рамках его сессии.

Тип уязвимости — некорректная обработка входных данных при декодировании (double decoding) в deeplink-обработчике. Для эксплуатации, как правило, требуется, чтобы пользователь перешёл по специально подготовленной ссылке, поэтому важную роль играет фактор социальной инженерии. Оценка CVSS 4.3 (MEDIUM) отражает необходимость взаимодействия с пользователем и ограниченное влияние на конфиденциальность и целостность данных.

Что делать

Основная рекомендация — обновить Canva Desktop до версии 1.125.0 или более поздней, где проблема устранена. Организациям следует проверить актуальность версий приложения на рабочих станциях сотрудников и централизованно распространить обновление.

До момента обновления в качестве временных мер можно ограничить переходы по недоверенным deeplink-ссылкам, ведущим в приложение, а также повысить бдительность пользователей в отношении подозрительных ссылок и сообщений. Целесообразно также ограничить автоматическое открытие внешних ссылок в десктопном клиенте, если такая настройка доступна.

Уязвимость CVE-2026-92839 не является критичной, однако демонстрирует классическую проблему безопасности — несоответствие между логикой декодирования данных и логикой их проверки. Двойное декодирование нередко становится обходным путём для фильтров, поэтому разработчикам рекомендуется приводить входные данные к каноническому виду до проведения каких-либо проверок. Пользователям и администраторам достаточно своевременно обновиться до версии 1.125.0, чтобы закрыть вектор атаки.

Источник: CVE Project (cvelistV5)