CVE-2017-14604 in Nautilus
Sumário
de VulDB • 24/06/2026
O GNOME Nautilus anterior à versão 3.23.90 permite que atacantes falsifiquem o tipo de arquivo usando a extensão .desktop, conforme demonstrado por um ataque em que o campo Name de um arquivo .desktop termina com .pdf, mas o campo Exec desse arquivo inicia um comando malicioso "sh -c". Em outras palavras, o Nautilus não fornece nenhuma indicação na interface do usuário (UI) de que um arquivo possui realmente a extensão potencialmente insegura .desktop; em vez disso, a UI mostra apenas a extensão .pdf. Um fator atenuante é que um ataque requer que o arquivo .desktop tenha permissão de execução. A solução consiste em solicitar ao usuário para confirmar se o arquivo deve ser tratado como um arquivo .desktop e, em seguida, armazenar a resposta do usuário no campo metadata::trusted.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.