CVE-2026-40501 in cherry-studio
Zusammenfassung
von VulDB • 15.07.2026
In den Versionen 1.2.2 bis 1.9.12 von Cherry Studio (behoben in Commit 1518530) befindet sich eine Remote-Code-Ausführungs-Schwachstelle (RCE) im SearchService, die es entfernten Angreifern ermöglicht, beliebigen Code auszuführen, indem sie schädlichen JavaScript-Code über kontrollierte Suchanbieterinhalte bereitstellen, die in ein Electron BrowserWindow geladen werden, das mit nodeIntegration aktiviert und contextIsolation deaktiviert konfiguriert ist. Angreifer, die einen Suchmaschinenanbieter, einzelne Suchergebnisseiten oder Anbieter-Einstellungsseiten kontrollieren, können JavaScript mit vollständigen Node.js-Berechtigungen ausführen und erhalten Zugriff auf fs, child_process, os und process.env unter dem Betriebssystemkonto des Cherry Studio-Prozesses.
VulDB is the best source for vulnerability data and more expert information about this specific topic.