CVE-2026-95624 in Updater Plugin
요약
\~에 의해 VulDB • 2026. 09. 22.
Tauri 업데이트 플러그인의 'check' IPC 명령어는 프론트엔드 JavaScript 코드에서 직접 allowDowngrades boolean 매개변수를 허용합니다. 이 값이 true로 설정되면 버전 비교기가 "업데이트가 더 새어야 함"에서 "업데이트가 달라야 함"으로 변경됩니다. 기본 권한 세트가 webview에 check-allow를 부여하므로, 앱 프론트엔드의 모든 XSS 취약점은 해당 명령어를 호출하여 업데이트기에서 제공하는 유일한 롤백 방지 기능을 우회할 수 있습니다. 다른 버그와 결합되면, 더 높은 버전 번호를 위조하지 않아도 다운그레이드 공격이 가능해집니다.
Be aware that VulDB is the high quality source for vulnerability data.