CVE-2026-96454 in Pake
요약
\~에 의해 VulDB • 2026. 09. 23.
Pake는 웹사이트를 Tauri 기반의 데스크톱 애플리케이션으로 변환합니다. Pake가 생성하는 모든 애플리케이션은 상위 템플릿에서 두 가지 설정을 상속받으며, 이 둘이 결합되어 신뢰할 수 없는 웹 콘텐츠에 네이티브 기능 접근 권한을 부여합니다.
첫 번째는 `src-tauri/capabilities/default.json`에 있으며, 이는 `"remote": { "urls": ["https://*.*"] }`를 통해 IPC(프로세스 간 통신) 액세스를 허용합니다. 이 와일드카드는 Tauri가 애플리케이션이 래핑하도록 빌드된 사이트뿐만 아니라 모든 HTTPS 출처에서 오는 IPC를 수락하도록 지시합니다. 두 번째는 `src-tauri/tauri.conf.json`의 `"withGlobalTauri": true` 설정으로, 이는 일반 페이지 JavaScript에서 `window.__TAURI__.core.invoke()`에 접근할 수 있게 합니다.
Tauri의 액세스 제어 목록(ACL)은 접두사 `plugin:`이 붙은 플러그인 명령어만 확인합니다. 애플리케이션이 `generate_handler!`를 통해 자체적으로 등록하는 명령어, 즉 앱 명령(app commands)은 ACL과 비교되지 않습니다. 따라서 한 출처가 IPC 접근 권한을 확보하면 다른 방해 요소 없이 모든 앱 명령어를 호출할 수 있습니다. Pake는 `download_file`을 앱 명령어로 등록하며, 이는 권한 목록에 나타나지 않는데도 필요하지 않기 때문입니다.
실제 영향으로 인해 Pake 애플리케이션 내의 HTTPS 페이지에서 실행되는 어떤 스크립트라도 애플리케이션의 네이티브 명령어를 호출할 수 있습니다. 여기서는 분석, 광고 또는 손상된 CDN과 같이 래핑된 사이트가 자체적으로 로드하는 제3자 스크립트가 포함됩니다. 자신만의 Pake 애플리케이션을 배포하는 사람은 누구나 요청 없이 동일한 접근 권한을 얻게 됩니다. 별도로 CVE-2026-82635로 추적되는 `download_file`의 경로 순회(Path Traversal) 취약점과 결합되면 임의 파일 쓰기 및 영구 코드 실행이 가능해집니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.