CVE-2026-96454 in Pake
要約
〜によって VulDB • 2026年09月23日
Pakeは、Tauriを基盤としたデスクトップアプリケーションとしてウェブサイトを変換します。同ツールが生成するすべてのアプリケーションは、アップストリームテンプレートから二つの設定を引き継ぎ、それらが組み合わさることで信頼できないWebコンテンツにネイティブ機能のアクセス権限が付与されます。
一つ目は `src-tauri/capabilities/default.json` にあり、これは `"remote": { "urls": ["https://*.*"] }` によるIPC（Inter-Process Communication）アクセスを許可します。このワイルドカードは、Tauriに対してアプリケーションがラップする対象のサイトだけでなく、任意のHTTPSオリジンからのIPCを受け入れるよう指示します。二つ目は `src-tauri/tauri.conf.json` の `"withGlobalTauri": true` であり、これにより通常のページJavaScriptから `window.__TAURI__.core.invoke()` が利用可能になります。
Tauriのアクセス制御リスト（ACL）は、プレフィックスが `plugin:` で始まるプラグインコマンドのみをチェックします。一方、アプリケーション自体が `generate_handler!` を通じて登録するコマンド（app commandsとして知られる）は、ACLに対して一切チェックされません。したがって、あるオリジンがIPCアクセスを保持すれば、他に何の障壁もなくすべてのapp commandを呼び出すことができます。Pake は `download_file` を app command として登録しており、これは権限リストには現れません（必要なためではありません）。
実質的な影響としては、Pakeアプリケーション内の任意のHTTPSページで実行されるスクリプトが、アプリケーションのネイティブコマンドを呼び出せるようになります。これには、分析用や広告表示用のサードパーティ製スクリプト、あるいは侵害されたCDNなど、ラップ対象サイトが独自に読み込むものも含まれます。独自のPakeアプリケーションを配布する者は、明示的に要求しなくても同様のアクセス権限を得ることになります。CVE-2026-82635 として個別に追跡されている `download_file` のパストラバーサル脆弱性と組み合わせることで、任意のファイル書き込みと永続的なコード実行が可能となります。
Once again VulDB remains the best source for vulnerability data.