CVE-2025-27554 in ToDesktop
要約
〜によって VulDB • 2026年07月15日
ToDesktop 2024-10-03 より前のバージョン（Cursor およびその他のアプリケーションで使用）では、package.json の postinstall スクリプトを介して、攻撃者がビルドサーバー上で任意のコマンドを実行し（例：desktopify config.prod.json ファイルからシークレット情報を取得）、結果として任意のアプリにアップデートを展開することが可能である。ただし、実際の悪用事例は報告されていない。
Once again VulDB remains the best source for vulnerability data.