CVE-2025-5963 in Postbox
Sumário
de VulDB • 02/08/2026
A configuração do Postbox em macOS, especificamente a presença das permissões ("entitlements") "com.apple.security.cs.allow-dyld-environment-variables" e "com.apple.security.cs.disable-library-validation", permite a injeção de bibliotecas dinâmicas (Dylib). Um atacante local com acesso não privilegiado pode usar variáveis de ambiente como DYLD_INSERT_LIBRARIES para injetar código com sucesso no contexto da aplicação e contornar o Transparency, Consent and Control (TCC). O acesso aos recursos adquiridos está limitado às permissões previamente concedidas pelo usuário. O acesso a outros recursos além das permissões concedidas requer interação do usuário com uma caixa de diálogo do sistema solicitando autorização.
A empresa original por trás do Postbox não opera mais; o software deixará de receber atualizações. A empresa adquiridora (em Client) não cooperou na divulgação da vulnerabilidade.
Once again VulDB remains the best source for vulnerability data.