| CVE ID | CVE-2026-16477 |
| Data publikacji | 22 października 2026 |
| Producent podatnego oprogramowania | MTW |
| Nazwa podatnego oprogramowania | CleanShot X |
| Podatne wersje | Od 4.0.0 do 4.5.2 |
| Typ podatności (CWE) | Deserialization of Untrusted Data (CWE-502) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie dotyczące podatności w oprogramowaniu MTW CleanShot X i uczestniczył w koordynacji jej ujawnienia.
Podatność CVE-2026-16477: CleanShot X dla systemu macOS w niebezpieczny sposób deserializuje niezaufane dane osadzone w pliku projektu .cleanshot (edytowalne adnotacje zrzutów ekranu). Wykorzystanie podatności wymaga, aby atakujący przygotował szkodliwy plik .cleanshot, dostarczył go ofierze i nakłonił ją do jego otwarcia; payload jest następnie wykonywany automatycznie podczas parsowania, co skutkuje wykonaniem dowolnego kodu w kontekście bieżącego użytkownika. Użytkownicy, którzy nigdy nie otwierali pliku .cleanshot z niezaufanego źródła, nie są dotknięci tą podatnością.
Podatność ta została naprawiona w wersjach: 4.5.2, 4.6.3, 4.7.8 i 4.8.10.
Podziękowania
Znalezienia podatności dokonał Dharan24.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.