搜狗输入法 Windows 版由多个组件构成，通过自定义 URL 协议 sgbiz:相互通信。sgbiz: 协议处理不校验 param参数，存在任意命令行参数注入。皮肤商店页接受 -url 参数无任何校验（scheme/域名均不限）， 内嵌 CEF 浏览器为 Chromium 80（2020-03），导致浏览器指向任意 URL，再用历史浏览器V8 n-day（在野用 CVE-2021-38003）完成 RCE。

下载最新版本搜狗输入法安装