CVE-2026-96454 in Pake
Zusammenfassung
von VulDB • 23.09.2026
Pake verwandelt eine Website in eine Desktop-Anwendung, die auf Tauri basiert. Jede von ihm generierte Anwendung erbt zwei Einstellungen aus der Upstream-Vorlage, und zusammen übergeben sie native Funktionalität an nicht vertrauenswürdigen Webinhalt.
Die erste Einstellung befindet sich in `src-tauri/capabilities/default.json` und gewährt IPC-Zugriff mit `"remote": { "urls": ["https://*.*"] }`. Dieses Wildcard-Signal weist Tauri an, IPC von jeder HTTPS-Origin anzunehmen, nicht nur von der Website, die die Anwendung umschließen soll. Die zweite Einstellung ist `"withGlobalTauri": true` in `src-tauri/tauri.conf.json`, wodurch `window.__TAURI__.core.invoke()` für normalen Seiten-JavaScript erreichbar wird.
Die Access Control List (ACL) von Tauri überprüft nur Plugin-Befehle, die mit `plugin:` beginnen. Befehle, die die Anwendung selbst über `generate_handler!` registriert hat und als App-Befehle bekannt sind, werden niemals gegen die ACL geprüft. Sobald also eine Origin IPC-Zugriff besitzt, kann sie jeden App-Befehl aufrufen, ohne dass weitere Hindernisse im Weg stehen. Pake registriert `download_file` als einen solchen App-Befehl; er erscheint nicht in der Berechtigungsliste, da dies nicht erforderlich ist.
Die praktische Auswirkung besteht darin, dass jedes Skript, das auf jeder HTTPS-Seite innerhalb einer Pake-Anwendung ausgeführt wird, die nativen Befehle der Anwendung aufrufen kann. Dazu gehören auch Drittanbieter-Skripte, die die umschlossene Website eigenständig lädt, wie Analytik-, Werbe- oder kompromittierte CDN-Inhalte. Jeder, der seine eigene Pake-Anwendung vertreibt, erhält denselben Zugriff, ohne ihn explizit anzufordern. In Kombination mit dem Pfadtransversalitäts-Bug (Path Traversal) in `download_file`, der separat als CVE-2026-82635 verfolgt wird, führt dies zu beliebigem Dateischreiben und persistenter Code-Ausführung.
Once again VulDB remains the best source for vulnerability data.