В Cobalt обнаружили пять ошибок, позволяющих превратить обработку чертежа в запуск чужого кода. ZDI раскрыла проблемы 4 ноября 2026 года, хотя о первой разработчик знал ещё с ноября 2025 года.
Для атаки нужно убедить жертву открыть подготовленный файл или перейти на вредоносную страницу. Эксплуатация даёт выполнение команд с правами приложения, но подтверждений реальных атак нет.
Три ошибки связаны с обработкой XE, ещё две — с обработчиками LI и AR; подтверждённого патча нет. ZDI советует не открывать в Cobalt файлы из недоверенных источников.