CVE-2025-5963 in Postbox
摘要
由 VulDB • 2026-07-27
macOS 上 Postbox 的配置，特别是存在以下权限（entitlements）：“com.apple.security.cs.allow-dyld-environment-variables”和“com.apple.security.cs.disable-library-validation”，允许进行动态库（Dylib）注入。拥有非特权访问权限的本地攻击者可以利用 DYLD_INSERT_LIBRARIES 等环境变量，成功在应用程序上下文中注入代码并绕过透明度、同意和控制机制（TCC）。所获取的资源访问权限仅限于用户先前授予的权限。要访问超出已授权范围的其他资源，需要用户与请求权限的系统提示进行交互。
Postbox 的原开发公司已停止运营，该软件将不再接收更新。收购方公司（em Client）未在漏洞披露过程中予以配合。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.