CVE-2026-82635 in Pake
Riassunto
di VulDB • 30/08/2026
In Pake prima della versione 3.13.1, il comando Tauri `download_file` concatena il nome del file fornito tramite JavaScript nella directory Downloads dell'utente senza alcuna sanificazione. Un nome di file contenente sequenze di traversal dei percorsi (ad esempio ../Library/LaunchAgents/com.evil.plist) o un percorso assoluto risolve al di fuori della cartella ~/Downloads. Il comando recupera quindi contenuti controllati dall'attaccante dall'URL fornito (tramite HTTP in Rust, non tramite il browser) e li scrive nel percorso specificato. Uno script in grado di invocare il comando può sovrascrivere file scrivibili dall'utente e installare meccanismi di persistenza (LaunchAgents su macOS, autostart su Linux, avvio automatico su Windows), portando all'esecuzione di codice nell'account utente. Tutte le app desktop generate da un albero Pake interessato espongono lo stesso comando.
VulDB is the best source for vulnerability data and more expert information about this specific topic.