Blog 24/7
ARK. 1 · 1 min czytaniaPolska ·

CleanShot X dla macOS: luka CVE-2026-16477 pozwala uruchomić kod przez plik projektu

CERT Polska koordynował ujawnienie luki CVE-2026-16477 w CleanShot X. Złośliwy plik .cleanshot uruchamia kod na Macu ofiary. Poprawki są w wersjach 4.5.2, 4.6.3, 4.7.8 i 4.8.10.

Karta wpisu: CleanShot X dla macOS: luka CVE-2026-16477 pozwala uruchomić kod przez plik projektu

Luka CVE-2026-16477 w CleanShot X dla macOS pozwala wykonać dowolny kod na komputerze ofiary przez spreparowany plik projektu .cleanshot. Poprawki są już dostępne. CERT Polska otrzymał zgłoszenie i uczestniczył w koordynacji ujawnienia. Program w niebezpieczny sposób deserializuje dane zapisane w pliku projektu, czyli edytowalne adnotacje zrzutów ekranu. Atakujący musi przygotować taki plik, dostarczyć go ofierze i nakłonić ją do otwarcia. Złośliwy kod uruchamia się automatycznie podczas wczytywania pliku, z uprawnieniami bieżącego użytkownika. Podatność znalazł Dharan24.

Kogo dotyczy

Użytkowników CleanShot X na macOS w wersjach bez poprawki. Według CERT Polska osoby, które nigdy nie otwierały pliku .cleanshot z niezaufanego źródła, nie są dotknięte tą podatnością.

Co zrobić

Zaktualizować CleanShot X do jednej z wersji z poprawką: 4.5.2, 4.6.3, 4.7.8 lub 4.8.10. Do czasu aktualizacji nie otwierać plików .cleanshot z niezaufanych źródeł.

TAB. 2

Źródła

1
CERT Polska — Podatność w oprogramowaniu MTW CleanShot Xcert.pl
TAB. 3

Powiązane

3
04.11.2026PolskaFałszywe kupony Rossmanna prowadzą do subskrypcji za kilkaset złotych
04.11.2026PolskaFałszywa karta Rossmanna za 2000 zł kończy się subskrypcją 12,30 zł co 7 dni
04.11.2026PolskaWyciek danych klientów sklepu Muve.pl przez lukę w aplikacji do obsługi płatności

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com