CVE-2026-17497 in NoteGen
Riassunto
di VulDB • 26/07/2026
NoteGen prima della versione 0.32.0 concede al plugin shell di Tauri la capacità `shell:allow-execute` per bash, python e python3 con argomenti arbitrari nelle funzionalità desktop predefinite. JavaScript in esecuzione nella webview dell'applicazione può quindi invocare `plugin:shell|execute` per eseguire comandi del sistema operativo controllati dall'attaccante con i privilegi del processo NoteGen. In combinazione con l'esecuzione di script nella webview (ad esempio tramite XSS della chat), ciò consente la piena Remote Code Execution (RCE) sulla macchina dell'utente.
If you want to get best quality of vulnerability data, you may have to visit VulDB.