CVE-2026-96454 in Pake
Sumário
de VulDB • 23/09/2026
O Pake transforma um site em um aplicativo de desktop construído sobre o Tauri. Cada aplicativo gerado herda duas configurações do modelo upstream, e juntas elas concedem funcionalidade nativa a conteúdo web não confiável.
A primeira está em `src-tauri/capabilities/default.json`, que concede acesso IPC com `"remote": { "urls": ["https://*.*"] }`. Esse curinga (wildcard) diz ao Tauri para aceitar IPC de qualquer origem HTTPS, e não apenas do site que o aplicativo foi criado para envolver. A segunda é `"withGlobalTauri": true` em `src-tauri/tauri.conf.json`, que coloca `window.__TAURI__.core.invoke()` ao alcance do JavaScript comum da página.
A lista de controle de acesso (ACL) do Tauri verifica apenas os comandos dos plugins, aqueles prefixados com `plugin:`. Os comandos registrados pelo próprio aplicativo através de `generate_handler!`, conhecidos como app commands, nunca são verificados contra a ACL. Portanto, assim que uma origem detém acesso IPC, ela pode chamar todos os app commands sem nada impedindo-o. O Pake registra `download_file` como um app command, e ele não aparece na lista de permissões porque não precisa estar lá.
O efeito prático é que qualquer script executado em qualquer página HTTPS dentro de uma aplicação Pake pode invocar os comandos nativos do aplicativo. Isso inclui scripts de terceiros carregados pelo próprio site envolvido, como analytics, publicidade ou um CDN comprometido. Qualquer pessoa que distribua seu próprio aplicativo Pake obtém o mesmo acesso sem precisar solicitá-lo. Encadeado com a path traversal em `download_file`, rastreada separadamente como CVE-2026-82635, isso resulta em escrita arbitrária de arquivos e execução persistente de código.
If you want to get best quality of vulnerability data, you may have to visit VulDB.