CVE-2026-102539

ŚrednieCVSS 5.7

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Super Productivity to zaawansowana aplikacja listy zadań z wbudowanym timeboxingiem i śledzeniem czasu. Od wersji 17.3.0 do 18.13.1, konfiguracja szyfrowania end-to-end SuperSync wywołuje sync(true) przed ustawieniem hasła szyfrowania przez użytkownika, powodując, że ścieżka przesyłania operacji transmituje i przechowuje wszystkie operacje użytkownika w postaci jawnej. Ujawnione operacje mogą zawierać prywatną treść zadań i poświadczenia połączonych dostawców problemów, w tym hasła wielokrotnego użytku, tokeny API i hasła aplikacji. Użytkownicy, którzy ukończą konfigurację E2EE, mają usunięte operacje jawne, podczas gdy użytkownicy, którzy opuszczą krok ustawiania hasła, mogą pozostawić dane przechowywane bezterminowo. Akcja Disable SuperSync nie usuwała jawnych danych, które zostały już przesłane. Routing i metadane przyczynowe pozostają jawne z założenia i nie są częścią tej podatności. Problem naprawiono w wersji 18.13.1.

Ocena ryzyka

Poufne dane użytkownika, w tym poświadczenia, mogą być przechowywane w postaci jawnej, co prowadzi do nieautoryzowanego dostępu i wycieku informacji.

Rekomendacja

Zaktualizuj Super Productivity do wersji 18.13.1 lub nowszej.

Inne podatności w Super Productivity

CVE-2026-71551Wysokie
Super Productivity przed wersją 18.13.0 zawiera podatność w handlerze IPC EXEC, który akceptuje polecenia od renderera i wykonuje je przez child_process.exec(). Mostek preload.js udostępnia window.ea.exec() dla kodu renderera, w tym wtyczek społeczności, bez wymagania uprawnień nodeExecution. Dialog potwierdzenia chroni tylko pierwsze wykonanie, a zatwierdzone polecenia są przechowywane w ALLOWED_COMMANDS i wykonywane później z uprawnieniami konta użytkownika.

Oryginalny opis (angielski, źródło NVD)

Super Productivity is an advanced todo list app with integrated timeboxing and time tracking capabilities. From 17.3.0 until 18.13.1, the SuperSync end-to-end encryption setup calls sync(true) before a user sets an encryption password, causing the operation-upload path to transmit and store all user operations in plaintext. The exposed operations can include private task content and connected issue-provider credentials, including reusable passwords, API tokens, and app passwords. Users who complete E2EE setup have the plaintext operations deleted, while users who leave the password-setting step can leave the data stored indefinitely. The Disable SuperSync action did not remove plaintext that had already been uploaded. Routing and causal metadata remain plaintext by design and are not part of this vulnerability. This issue is fixed in version 18.13.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS