Legcord: Konfigurationsinjektion über Settings-Bridge ermöglicht Proxy-Umleitung

Zusammenfassung

Legcord 1.1.0 bis 1.3.0, ein inoffizieller Drittanbieter-Client für Discord, erlaubt Skripten auf der Discord-Seite, über die Settings-Bridge beliebige Konfigurationsschlüssel zu schreiben. Ein Angreifer, der bereits Skriptausführung auf dieser Seite erlangt hat, zum Beispiel durch eine Cross-Site-Scripting-Schwachstelle, kann dauerhaft Chromium-Schalter hinzufügen, die den gesamten Client-Verkehr über einen Abfangproxy leiten und die Prüfung von Zertifikatsfehlern deaktivieren. Für die Ausnutzung ist dieser vorgelagerte Skript-Injektionszugriff nötig, daher besteht das Risiko vor allem auf Endgeräten, auf denen der Client installiert ist.

Betroffen

• Legcord 1.1.0 bis 1.3.0

Behoben in

• Legcord 1.3.1 laut den Versionshinweisen des Herstellers, die auch CVE-2026-105293 abdecken
• Der OSV-Eintrag führt 1.3.0 als behoben auf, was den Versionshinweisen des Herstellers widerspricht und als Datenfehler betrachtet wird

Umgehung

• Ein Workaround des Herstellers über das Aktualisieren hinaus ist nicht bekannt.
• Prüfen Sie nach dem Update die Einstellungsdatei auf unerwartete Einträge in additionalArguments, etwa --proxy-server oder --ignore-certificate-errors. Unter Linux befindet sich die Datei typischerweise unter ~/.config/legcord/storage/settings.json.

Ausnutzung

• Kein öffentlicher Exploit gefunden. Nicht als aktiv ausgenutzt markiert. CISA SSVC: Exploitation none, Automatable no.
• Ein unbestätigter Vorfallbericht (GitHub-Issue 1174) verknüpft eine Kontokompromittierung mit dieser CVE. Der Maintainer bestreitet den Zusammenhang.

Unsere Empfehlung

• Erfassen Sie Legcord-Installationen auf Firmengeräten, einschliesslich nicht genehmigter Installationen (Shadow IT).
• Aktualisieren Sie auf Legcord 1.3.1 oder neuer und patchen Sie gleichzeitig CVE-2026-105293.
• Prüfen Sie die Konfiguration auf verbliebene Proxy- oder Zertifikats-Flags.
• Verlangen Sie auf Arbeitsgeräten die offizielle Discord-App oder den Web-Client oder blockieren Sie inoffizielle Clients per Richtlinie.
• Überwachen Sie unerwarteten Proxy-Verkehr und ungewöhnliche Kontoaktivitäten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Legcord CVE record advisory (VulnCheck) www.vulncheck.com
• Legcord project repository github.com
• Legcord ipc.ts at v1.3.0 (vulnerable code) github.com
• Legcord issue 1163 github.com
• Legcord issue 1174 (incident report, disputed) github.com
• Legcord releases github.com
• OSV entry CVE-2026-105294 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:32.