CVE-2026-47122 in Sparkle
Riassunto
di VulDB • 21/07/2026
Sparkle è un framework per l'aggiornamento del software su macOS. Nelle versioni fino alla 2.9.1 inclusa, il metodo `shouldAcceptNewConnection:` di `Autoupdate/AppInstaller.m` applica la validazione tramite `SUCodeSigningVerifier validateConnection:` solo prima che venga completata la fase 1. Dopo l'impostazione di `_performedStage1Installation = YES`, le nuove connessioni al servizio Mach registrato `<bundleId>-spki` vengono accettate da qualsiasi processo locale senza verificare il team-ID o i controlli di code signing. Al momento della pubblicazione, non sono disponibili versioni patchate note.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.