CVE-2026-93676
NiskieCVSS 3.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
xdg-dbus-proxy nieprawidłowo filtruje komunikaty rozgłoszeniowe D-Bus, omijając skonfigurowane ograniczenia ścieżek, interfejsów i elementów. Umożliwia to aplikacji Flatpak działającej w piaskownicy przechwytywanie sygnałów rozgłoszeniowych na sesyjnej szynie D-Bus oraz szynie AT-SPI, które powinny być ograniczone.
Ocena ryzyka
Może to prowadzić do ujawnienia poufnych informacji nieautoryzowanym aplikacjom w piaskownicy, naruszając izolację i bezpieczeństwo danych. Aplikacje mogące przechwytywać sygnały mogą uzyskać wgląd w dane innych aplikacji.
Rekomendacja
Zaktualizuj xdg-dbus-proxy do wersji zawierającej poprawkę. Do czasu aktualizacji rozważ ograniczenie uruchamiania niezaufanych aplikacji Flatpak.
Inne podatności w xdg-dbus-proxy
Zobacz wszystkie- CVE-2026-94422Wysokie
xdg-dbus-proxy przed wersją 0.1.9 ma nieprawidłową implementację filtrowania wiadomości, która pozwala atakującemu na obejście zamierzonego filtrowania na sesyjnej magistrali D-Bus przez ustawienie numeru odpowiedzi na wiadomościach niebędących odpowiedziami. Złośliwa lub skompromitowana aplikacja Flatpak może wykorzystać to do wykonania kodu poza sandboxem.
- CVE-2026-34080Średnie
xdg-dbus-proxy przed wersją 0.1.7 zawiera podatność w parserze polityk, która pozwala na ominięcie ograniczeń podsłuchiwania. Proxy nieprawidłowo obsługuje przypadki takie jak 'eavesdrop ='true'' (ze spacją przed znakiem równości), co umożliwia klientom przechwytywanie komunikatów D-Bus, do których nie powinni mieć dostępu.
Oryginalny opis (angielski, źródło NVD)
xdg-dbus-proxy incorrectly filters D-Bus broadcast messages, bypassing configured path, interface, and member restrictions. This allows a sandboxed Flatpak application to intercept broadcast signals on the D-Bus session bus and AT-SPI bus that should be restricted, potentially exposing sensitive information to unauthorized applications.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS