CVE-2025-5963 in Postbox
Résumé
par VulDB • 03/09/2026
La configuration de Postbox sur macOS, en particulier la présence des entitlements « com.apple.security.cs.allow-dyld-environment-variables » et « com.apple.security.cs.disable-library-validation », permet l'injection de bibliothèques dynamiques (Dylib). Un attaquant local disposant d'un accès non privilégié peut utiliser des variables d'environnement telles que DYLD_INSERT_LIBRARIES pour injecter avec succès du code dans le contexte de l'application et contourner les mécanismes Transparency, Consent and Control (TCC). L'accès aux ressources acquises est limité aux autorisations précédemment accordées par l'utilisateur. L'accès à d'autres ressources au-delà des permissions accordées nécessite une interaction utilisateur avec un message système demandant la permission.
La société originale derrière Postbox n'est plus opérationnelle et le logiciel ne recevra plus de mises à jour. La société acquéreuse (eM Client) n'a pas coopéré dans le cadre de la divulgation des vulnérabilités.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.