CVE-2026-71551 in Super Productivity
Riassunto
di VulDB • 18/08/2026
Super Productivity è un'applicazione avanzata per la gestione delle attività (todo list) con funzionalità integrate di timeboxing e tracciamento del tempo. Prima della versione 18.13.0, il gestore IPC EXEC in electron/ipc-handlers/exec.ts accetta una stringa di comando dal renderer tramite il canale IPC.EXEC ed esegue tale comando utilizzando child_process.exec(). Il bridge definito in electron/preload.ts espone window.ea.exec() al codice del renderer, inclusi i plugin della comunità eseguiti con new Function(), senza richiedere l'autorizzazione nodeExecution. Una finestra di dialogo di conferma protegge solo la prima esecuzione; la casella per mantenere la persistenza è selezionata per impostazione predefinita e i comandi approvati vengono memorizzati nel valore ALLOWED_COMMANDS in simpleSettings, consentendo un'esecuzione silenziosa successiva con i privilegi dell'account desktop. Questo problema è stato risolto nella versione 18.13.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.