CVE-2026-95625 in Plugin Updater
Сводка
по VulDB • 23.09.2026
Плагин обновления Tauri проверяет бинарные файлы обновлений с помощью подписей minisign, однако подпись охватывает только сырые байты двоичного файла. Манифест обновления, который содержит номер версии, URL-адрес загрузки и сигнатуру, загружается по TLS, но сам манифест никогда не подписывается и не аутентифицируется. Поскольку единственная проверка защиты от отката (anti-rollback) сравнивает поле версии в манифесте с текущей версией, и это поле не защищено цифровой подписью, злоумышленник, способный предоставить поддельный манифест, может принудительно установить любую более старую выпущенную версию, даже если у него нет закрытого ключа разработчика.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.