• 漏洞编号：CVE-2026-51990
• 漏洞等级：高危
• 漏洞标签：重保2026、关键漏洞、奇安信CERT验证、技术细节公开、影响亿级、在野利用
• 发布时间：2026-09-10

漏洞描述

搜狗输入法是由腾讯公司开发的一款广受欢迎的中文输入法软件，主要面向 Windows 平台用户提供智能拼音输入、云输入预测、皮肤定制及词库同步等功能。该输入法通过深度集成 Windows 文本服务框架（TSF），实现了对系统级键盘输入的实时捕获与处理，并内置了基于 Chromium 嵌入式框架（CEF）的浏览器组件用于展示皮肤商店等 Web 内容。凭借其庞大的用户基数和云端服务能力，搜狗输入法在中国市场拥有数亿级安装量，是企业及个人用户日常办公场景中广泛使用的基础输入工具。 该漏洞源于 sgbiz: 自定义协议处理器（biz\_helper.exe）对传入的命令行参数未进行充分验证，攻击者可构造恶意链接利用参数注入调用 SGMyInput.exe 的皮肤中心 CEF WebView，并将嵌入式浏览器导航至攻击者控制的任意页面。由于该 WebView 基于过时的 Chromium 80 引擎（2020年3月版本），且沙箱保护和同源策略等安全机制均被禁用，攻击者可进一步利用已知浏览器引擎漏洞（如 CVE\-2021\-38003）实现任意代码执行。攻击者可利用漏洞，通过构造特殊的 sgbiz: 链...

修复建议

暂无

参考链接

https://ti.qianxin.com/vulnerability/detail/501286