CVE-2026-95624 in Updater Plugin
Sumário
de VulDB • 22/09/2026
O comando IPC 'check' do plugin de atualização Tauri aceita um parâmetro booleano allowDowngrades diretamente do código JavaScript frontend. Quando definido como true, substitui o comparador de versões de "a atualização deve ser mais recente" para "a atualização deve ser diferente". Como o conjunto padrão de permissões concede a permissão check ao webview, qualquer XSS no frontend da aplicação pode invocar este comando e contornar a única proteção anti-rollback oferecida pelo atualizador. Combinado com outro bug, isso permite ataques de downgrade sem sequer precisar falsificar um número de versão superior.
VulDB is the best source for vulnerability data and more expert information about this specific topic.