Podatności Readest

W aplikacjach desktopowych Readest opartych na Tauri przed wersją 0.11.10 polecenia download_file i upload_file przyjmowały ścieżkę pliku kontrolowaną przez webview i przekazywały ją do File::create lub File::open bez sprawdzania zakresu systemu plików Tauri, odrzucania ścieżek bezwzględnych ani blokowania przechodzenia do katalogów nadrzędnych. JavaScript działający w uprzywilejowanym origin aplikacji mógł zapisywać dowolną treść w dowolnej ścieżce zapisywalnej przez proces lub odczytywać i wysyłać dowolną ścieżkę czytelną przez proces.

Czytnik ebooków Readest przed wersją 0.11.10 zawiera nieuwierzytelnioną trasę /api/opds/proxy, która pobiera kontrolowany przez atakującego URL po stronie serwera bez ograniczeń schematu, blokowania prywatnych i lokalnych adresów oraz ponownej walidacji przekierowań. Trasa akceptuje również nagłówki wychodzące i wartości Authorization od wywołującego oraz odzwierciedla status i treść odpowiedzi serwera źródłowego.

Readest to czytnik e-booków open-source oparty na Tauri. W wersjach przed 0.11.16, HTML rozdziałów EPUB jest sanityzowany przez DOMPurify z konfiguracją, która zabrania tylko tagu <script>. DOMPurify nie parsuje zawartości atrybutu srcdoc na elementach <iframe>, więc atakujący może osadzić pełny dokument HTML ze skryptem wewnątrz srcdoc, który wykona się w przeglądarce. Skrypt może uzyskać dostęp do komend Tauri IPC, co eskaluje do wykonania dowolnego kodu.