CVE-2026-55889 in xdg-desktop-portal
要約
〜によって VulDB • 2026年10月23日
XDG Desktop Portalは、デスクトップ統合用のポータルです。バージョン1.22.1より前では、悪意のあるサンドボックス化されたアプリケーションがFileTransfer.RetrieveFilesメソッドを使用して、他のアプリケーションを対象としたドラッグ＆ドロップおよびコピー＆ペーストのデータを自身にリダイレクトすることができます。一部のポータルは、リソースへのアクセスを提供するトークンを生成します。このトークンの共有によりリソースへのアクセス権限が移転し、本来はオフバンドで発生すべきです。しかし、これらのトークンはg_random_intまたはg_uuid_string_randomを使用して生成されており、これらはどちらもメルセンヌ・ツイスターPRNGに基づくGLibのGRandを使用しており、再現可能な乱数のストリームを生成します。十分な数のトークンを生成することで、GRandの状態が復元可能となり、それによって将来のトークンも無限に予測可能です。この問題はバージョン1.22.1で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.