CVE-2026-35465

SecureDrop Client jurnalistlərin mənbələrlə təhlükəsiz şəkildə ünsiyyət qurması və SecureDrop Workstation üzərində müraciətləri idarə etməsi üçün nəzərdə tutulmuş masaüstü tətbiqdir. 0.17.4 və daha aşağı versiyalarda, kompromisə uğramış SecureDrop Server, gzip arxivinin çıxarılması zamanı fayl adının yanlış yoxlanılmasından istifadə edərək Klientin virtual maşınında (sd-app) kodun icrasını həyata keçirə bilər; bu boşluq mütləq yolların (absolute paths) istifadəsini mümkün edir və SQLite verilənlər bazası kimi kritik faylların üzərinə yazmağa şərait yaradır. Eksploytasiya üçün əvvəlcə xüsusi SecureDrop Serverin kompromisə uğraması tələb olunur ki, bu server özlüyündə gücləndirilmişdir və yalnız Tor gizli xidmətləri vasitəsilə əlçatandır. Hücumun yüksək mürəkkəbliyinə baxmayaraq, zəiflik dekriptasiya edilmiş mənbə müraciətlərinin konfidensiallığına, bütövlüyünə və əlçatanlığına göstərdiyi ciddi təsirə görə Yüksək dərəcəli hesab edilir. Bu problem CVE-2025-24888 ilə oxşardır, lakin fərqli kod yolu vasitəsilə baş verir və əvəzləyici SecureDrop Inbox kod bazasında daha möhkəm düzəliş tətbiq edilmişdir. Problem 0.17.5 versiyasında aradan qaldırılmışdır.