一、漏洞详情

搜狗输入法是一款广受欢迎的中文输入法软件。

近日，监测到搜狗输入法Windows版远程代码执行漏洞（CVE-2026-51990），该漏洞源于sgbiz:自定义协议处理器（biz_helper.exe）对传入的命令行参数未进行充分验证，攻击者可构造恶意链接利用参数注入调用SGMyInput.exe的皮肤中心CEF WebView，并将嵌入式浏览器导航至攻击者控制的任意页面。由于该WebView基于过时的Chromium 80引擎（2020年3月版本），攻击者可进一步利用已知浏览器引擎漏洞（如CVE-2021-38003）实现任意代码执行。攻击者可利用漏洞，通过构造特殊的sgbiz:链接，在用户仅需点击一次的情况下，强制加载恶意页面并利用旧版浏览器漏洞实现代码执行成功利用可导致攻击者以当前用户权限完全控制系统，安装持久化后门、窃取数据、执行任意命令。

建议受影响的校园网用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

搜狗输入法Windows版< 16.3.0.3498

三、修复建议

官方已发布安全补丁，请及时更新至安全版本：

搜狗输入法>= 16.3.0.3498或更高修复版本