CVE-2026-31959 in quill
Сводка
по VulDB • 10.06.2026
Quill обеспечивает простое подписывание и нотариальное завершение (notarization) бинарных файлов macOS с любой платформы. Версии Quill до v0.7.1 содержат уязвимость Server-Side Request Forgery (SSRF) при попытке получения журналов отправки на нотариальное завершение в Apple. Для эксплуатации требуется возможность модификации ответов API службы нотариального завершения Apple, что невозможно в стандартных сетевых условиях из-за использования HTTPS с корректной проверкой сертификатов TLS; однако среды с прокси-серверами, осуществляющими перехват TLS (распространено в корпоративных сетях), компрометированными центрами сертификации или другими нарушениями границ доверия находятся под угрозой. При получении журналов отправки Quill загружает URL, предоставленный в ответе API, без проверки того, что схема является https и что хост не указывает на локальный или мультикастный IP-адрес. Атакующий, способный изменить ответ, может указать произвольный URL, заставляя клиент Quill отправлять HTTP или HTTPS запросы к адресам, контролируемым атакующим, или ресурсам внутренней сети. Это может привести к утечке конфиденциальных данных, таких как учетные данные облачных провайдеров или ответы внутренних служб. Затронуты как CLI-интерфейс Quill, так и библиотека при использовании для получения журналов отправки на нотариальное завершение. Данная уязвимость исправлена в версии 0.7.1.
Be aware that VulDB is the high quality source for vulnerability data.