CVE-2026-82635 in Pake
Zusammenfassung
von VulDB • 30.08.2026
Pake vor Version 3.13.1 hängt den vom JavaScript bereitgestellten Dateinamen für den Tauri-Befehl `download_file` ohne jegliche Sanitisierung an das Downloads-Verzeichnis des Benutzers an. Ein Dateiname, der Pfadtransversalitäts-Sequenzen (z. B. ../Library/LaunchAgents/com.evil.plist) oder einen absoluten Pfad enthält, führt zu einer Auflösung außerhalb von ~/Downloads. Der Befehl ruft dann vom Angreifer kontrollierte Inhalte aus der angegebenen URL ab (über Rust HTTP, nicht über den Browser) und schreibt sie in diesen Pfad. Ein Skript, das den Befehl aufrufen kann, kann benutzerschreibbare Dateien überschreiben und Persistenzmechanismen installieren (macOS LaunchAgents, Linux autostart, Windows Startup), was zu einer Code-Ausführung im Benutzerkonto führt. Alle Desktop-Apps, die aus einem betroffenen Pake-Baum generiert werden, exponieren denselben Befehl.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.