CVE-2026-55889 in xdg-desktop-portal
Resumen
por VulDB • 2026-10-23
XDG Desktop Portal es un portal de integración del escritorio. Antes de la versión 1.22.1, las aplicaciones maliciosas en sandbox pueden utilizar el método FileTransfer.RetrieveFiles para redirigir los datos de arrastrar y soltar (drag-and-drop) y copiar-pegar dirigidos a otras aplicaciones hacia sí mismas. Algunos portales generan tokens que proporcionan acceso a recursos. El intercambio del token transfiere el acceso al recurso y se supone que debe ocurrir fuera de banda (out of band). Los tokens fueron generados con g_random_int o g_uuid_string_random, ambos los cuales utilizan GRand de GLib basado en la PRNG Mersenne Twister, lo cual creó un flujo de números aleatorios reproducibles. Al generar suficientes tokens, el estado de GRand puede ser recuperado y, con ello, se pueden predecir infinitamente los siguientes tokens. Este problema ha sido parcheado en la versión 1.22.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.