CVE-2026-40501
Təsvir
Cherry Studio versiyaları 1.2.2-dən 1.9.12-yə qədər (commit 1518530 ilə düzəldilib), SearchService komponentində uzaqdan kodun icrası zəifliyinə malikdir. Bu zəiflik, nodeIntegration aktiv və contextIsolation deaktiv edilmiş şəkildə konfiqurasiya olunmuş Electron BrowserWindow-a yüklənən idarə olunan axtarış provayderi məzmunu vasitəsilə zərərli JavaScript göndərməklə uzaqdakı hücumçulara ixtiyari kodu icra etməyə imkan verir. Axtarış mühərriki provayderini, fərdi axtarış nəticələri səhifələrini və ya provayder parametrləri səhifələrini idarə edən hücumçular, tam Node.js imtiyazları ilə JavaScript icra edərək, Cherry Studio prosesinin əməliyyat sistemi hesabı altında fs, child_process, os və process.env modullarına giriş əldə edə bilərlər.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| CherryHQ cherry-studio | 1.2.2 ≤ v ≤ 1.9.12, f9c6bddae5b91cc50872c76e791105fa219d0d34 ≤ v ≤ 151853035e8e417a51559ebfc243eda98361a882 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.