Pake до версии 3.13.1 объединяет имя файла, предоставленное JavaScript для команды download_file Tauri, в каталог загрузок пользователя без очистки. Имя файла, содержащее последовательности обхода пути (например, ../Library/LaunchAgents/com.evil.plist), или абсолютный путь разрешается вне ~/Downloads. Затем команда извлекает контролируемый злоумышленником контент с предоставленного URL-адреса (через Rust HTTP, а не через браузер) и записывает его по этому пути.
Сценарий, который может вызывать команду, может перезаписывать файлы, доступные для записи пользователем, и устанавливать постоянство (macOS LaunchAgents, автозапуск Linux, запуск Windows), что приводит к выполнению кода в учетной записи пользователя. Все настольные приложения, созданные из затронутого дерева Паке, используют одну и ту же команду.
Показать оригинальное описание (EN)
Pake before 3.13.1 joins the JavaScript-supplied filename for the download_file Tauri command onto the user's Downloads directory with no sanitization. A filename containing path traversal sequences (for example ../Library/LaunchAgents/com.evil.plist) or an absolute path resolves outside ~/Downloads. The command then fetches attacker-controlled content from the supplied URL (via Rust HTTP, not the browser) and writes it to that path. A script that can invoke the command can overwrite user-writable files and install persistence (macOS LaunchAgents, Linux autostart, Windows Startup), leading to code execution in the user account. All desktop apps generated from an affected Pake tree expose the same command.
Характеристики атаки
Последствия
Строка CVSS v3.1