CVE-2023-46115

Tauri bütün əsas masaüstü platformalar üçün binar faylların yaradılması üçün çərçivədir (framework). Bu məsləhət Tauri-nin öz kod bazasındakı boşluğu deyil, müəyyən konfiqurasiyada Vite frontendi istifadə edən paketlənmiş Tauri tətbiqlərində gizli açarın və yeniləyici açar şifrəsinin sızmasına səbəb ola biləcək geniş yayılmış yanlış konfiqurasiyanı təsvir edir. Tauri sənədləri, Tauri-nin Vite ilə birlikdə necə istifadə olunacağını nümayiş etdirmək üçün `Vite guide` bölməsində təhlükəsiz olmayan nümunə konfiqurasiyadan istifadə etmişdir. Həmin bələdçidən `envPrefix: ['VITE_', 'TAURI_'],` kod hissəsinin Tauri layihəsinin `vite.config.ts` faylına kopyalanması, `TAURI_PRIVATE_KEY` və `TAURI_KEY_PASSWORD` dəyişənlərinin Vite frontend kodu daxilinə paketlənməsinə və nəticədə bu dəyərlərin buraxılmış Tauri tətbiqinə sızmasına gətirib çıxarır. `envPrefix: ['VITE_'],` istifadəsi və ya Vite-dən başqa hər hansı bir çərçivənin istifadəsi sizin bu məsləhətdən təsirlənmədiyiniz mənasına gəlir. Təsirə məruz qalan istifadəçilərə yeniləyici gizli açarlarını dəyişdirməkləri tövsiyə olunur (bu, Tauri CLI >=1.5.5 tələb edir). envPrefix konfiqurasiyasını yenilədikdən sonra `tauri signer generate` vasitəsilə yeni gizli açar yaradın, yeni gizli açarı yadda saxlayın və `tauri.conf.json` faylında yeniləyicinin `pubkey` dəyərini yeni açıq açarla yeniləyin. Mövcud tətbiqi yeniləmək üçün növbəti tətbiq qurğusu (build), mövcud tətbiq tərəfindən qəbul edilməsi üçün köhnə gizli açarla imzalanmalıdır.