CVE-2026-9264: Cross-Site Scripting em Dynamic Components do Trimble SketchUp
A CVE-2026-9264 é uma falha de cross-site scripting no recurso Dynamic Components do Trimble SketchUp 2026, associada ao CWE-94 (Injeção de Código) no registro. A descrição relata impactos de execução remota de código e exfiltração de arquivos locais por meio de arquivos SKP elaborados, com pontuação base CVSS 3.1 de 9.3. O registro lista versões afetadas abaixo de 2026.1.3, não traz entradas de correção e não consta na lista KEV da CISA.
Visão geral
A CVE-2026-9264 afeta o recurso Dynamic Components do Trimble SketchUp 2026. Segundo o registro, trata-se de uma falha de cross-site scripting causada por sanitização inadequada de entradas na janela de opções do componente, classificada como CWE-94 (Injeção de Código).
Impacto
O registro afirma que a falha pode permitir execução remota de código e exfiltração de arquivos locais. Também indica que não há necessidade de interação do usuário e que está envolvido um navegador Internet Explorer 11 embutido. A pontuação base CVSS 3.1 é 9.3, com alteração de escopo e alto impacto em confidencialidade, integridade e disponibilidade.
- Confidencialidade, integridade e disponibilidade aparecem como altos no vetor.
- O vetor de ataque está indicado como local (AV:L), o que deve ser conciliado com a menção à execução remota na descrição; as fontes não explicam essa diferença.
Produtos e versões afetados
O registro lista o Trimble SketchUp com versões abaixo de 2026.1.3 como afetadas. O campo de correções está vazio, portanto nenhuma versão corrigida é indicada explicitamente. Recomenda-se confirmar a build de correção exata no aviso do fornecedor.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro, e o valor SSVC de exploração é none. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Identifique todas as instalações do SketchUp 2026 e de builds anteriores dentro da faixa afetada.
- Consulte o aviso do fornecedor Trimble e aplique a atualização que trata o problema de Dynamic Components, preferencialmente uma build igual ou superior a 2026.1.3, salvo orientação diferente do fornecedor.
- Até concluir a atualização, restrinja a abertura de arquivos SKP de origem não confiável ou desconhecida e limite o uso de Dynamic Components de terceiros.
- Aplique o princípio do menor privilégio às contas que executam softwares de modelagem.
Orientações para detecção
- Monitore processos filhos inesperados iniciados pelo aplicativo SketchUp.
- Revise logs de endpoints em busca de acessos incomuns a arquivos por processos do SketchUp.
- Acompanhe transferências de arquivos SKP vindas de fontes externas e encaminhe os inesperados para inspeção.
Limitações das informações disponíveis
O registro tem status de origem Deferred e oferece poucos detalhes técnicos além da descrição. Não há condições de exploração específicas do fornecedor, contramedidas alternativas ou números de build corrigidos. Os dados do EPSS estão presentes, mas a data registrada não esclarece a linha do tempo da análise.
Perguntas frequentes
O que é a CVE-2026-9264?
É uma vulnerabilidade de cross-site scripting no recurso Dynamic Components do Trimble SketchUp 2026, associada ao CWE-94 no registro.
Quais versões são afetadas?
O registro lista versões do Trimble SketchUp abaixo de 2026.1.3 como afetadas. Não há uma versão corrigida explicitamente indicada, então confirme a build com o fornecedor.
Esta vulnerabilidade está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.