CVE-2026-82635

WysokieCVSS 8.8

Opublikowano: 30/08/2026(UTC)Zaktualizowano: 04/09/2026(UTC)Przetłumaczono: 30/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

Pake przed wersją 3.13.1 łączy nazwę pliku dostarczoną przez JavaScript dla komendy download_file Tauri z katalogiem Downloads użytkownika bez sanityzacji. Nazwa pliku zawierająca sekwencje traversal (np. ../Library/LaunchAgents/com.evil.plist) lub ścieżka bezwzględna rozwiązuje się poza ~/Downloads. Komenda pobiera treść kontrolowaną przez atakującego z podanego URL i zapisuje ją w tej ścieżce, co może prowadzić do nadpisania plików użytkownika i instalacji trwałości (LaunchAgents, autostart, Startup), a w konsekwencji do wykonania kodu.

Ocena ryzyka

Ryzyko wykonania kodu w kontekście użytkownika, co może prowadzić do przejęcia konta i trwałej obecności w systemie.

Rekomendacja

Zaktualizuj Pake do wersji 3.13.1 lub nowszej, która naprawia tę podatność. Dodatkowo ogranicz możliwość wywoływania komendy download_file tylko do zaufanych skryptów.

Inne podatności w Pake

CVE-2026-96454Wysokie
Pake, narzędzie zamieniające strony internetowe w aplikacje desktopowe oparte na Tauri, generuje aplikacje z dwoma niebezpiecznymi ustawieniami domyślnymi. Konfiguracja uprawnień IPC akceptuje połączenia z dowolnego źródła HTTPS (wildcard "https://*.*"), a opcja withGlobalTauri udostępnia natywne API Tauri zwykłemu JavaScriptowi strony. Ponieważ lista kontroli dostępu Tauri weryfikuje tylko komendy wtyczek (plugin:), a nie komendy rejestrowane przez aplikację (app commands), każde źródło HTTPS może wywołać natywne komendy aplikacji, w tym download_file.

Oryginalny opis (angielski, źródło NVD)

Pake before 3.13.1 joins the JavaScript-supplied filename for the download_file Tauri command onto the user's Downloads directory with no sanitization. A filename containing path traversal sequences (for example ../Library/LaunchAgents/com.evil.plist) or an absolute path resolves outside ~/Downloads. The command then fetches attacker-controlled content from the supplied URL (via Rust HTTP, not the browser) and writes it to that path. A script that can invoke the command can overwrite user-writable files and install persistence (macOS LaunchAgents, Linux autostart, Windows Startup), leading to code execution in the user account. All desktop apps generated from an affected Pake tree expose the same command.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS