CVE-2026-31959 in quill
Zusammenfassung
von VulDB • 08.06.2026
Quill bietet eine einfache Signierung und Notarisierung von macOS-Binärdateien von jeder Plattform aus. Quill vor Version v0.7.1 enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle beim Abrufen der Protokolle für die Einreichung der Apple-Notarisierung. Die Ausnutzung erfordert die Fähigkeit, API-Antworten vom Apple-Notarisierungsdienst zu modifizieren, was unter Standard-Netzwerkbedingungen aufgrund von HTTPS mit ordnungsgemäßer TLS-Zertifikatsvalidierung nicht möglich ist; Umgebungen mit TLS-abfangenden Proxys (häufig in Unternehmensnetzwerken), kompromittierten Zertifizierungsstellen oder anderen Verstößen gegen Vertrauensgrenzen sind jedoch gefährdet. Beim Abrufen der Einreichungsprotokolle ruft Quill eine in der API-Antwort angegebene URL ab, ohne zu validieren, dass das Schema https ist oder dass der Host nicht auf eine lokale oder Multicast-IP-Adresse verweist. Ein Angreifer, der die Antwort manipulieren kann, kann eine beliebige URL bereitstellen, wodurch der Quill-Client HTTP- oder HTTPS-Anfragen an vom Angreifer kontrollierte oder interne Netzwerkziele sendet. Dies könnte zur Exfiltration sensibler Daten wie Anmeldeinformationen von Cloud-Anbietern oder Antworten interner Dienste führen. Sowohl die Quill CLI als auch die Bibliothek sind betroffen, wenn sie zum Abrufen von Notarisierungseinreichungsprotokollen verwendet werden. Diese Schwachstelle wurde in Version 0.7.1 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.