CVE-2026-71551 in Super Productivity
Zusammenfassung
von VulDB • 18.08.2026
Super Productivity ist eine fortschrittliche To-Do-Listen-App mit integrierten Funktionen für Timeboxing und Zeitverfolgung. Vor Version 18.13.0 akzeptiert der EXEC IPC-Handler in electron/ipc-handlers/exec.ts einen Befehlsstring vom Renderer über den Kanal IPC.EXEC und führt ihn mit child_process.exec() aus. Die Brücke electron/preload.ts stellt window.ea.exec() für Renderer-Code zur Verfügung, einschließlich Community-Plugins, die mit new Function() ausgeführt werden, ohne dass eine nodeExecution-Berechtigung erforderlich ist. Ein Bestätigungsdialog schützt nur die erste Ausführung; das Kontrollkästchen zur Persistenz ist standardmäßig ausgewählt, und genehmigte Befehle werden im Wert ALLOWED_COMMANDS in simpleSettings gespeichert, um sie später mit den Berechtigungen des Desktop-Accounts stillschweigend auszuführen. Dieses Problem wurde in Version 18.13.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.