CVE-2026-42890
Təsvir
Actual açıq mənbəli şəxsi maliyyə tətbiqidir. macOS masaüstü tətbiqinin 25.x versiyasında (Electron 39.2.7 əsasında qurulub), ELECTRON_RUN_AS_NODE fuse funksiyası deaktiv edilməyib. Bu, diskə fayl yerləşdirə bilən və ya komanda sətri arqumentlərini idarə edə bilən hücumçuya imzalanmış Actual.app binarını ELECTRON_RUN_AS_NODE=1 mühit dəyişəni təyin edilmiş halda çağırmağa imkan verir. Bu, tətbiqi tətbiqin hüquqlarını (entitlements) və kod imzasını miras alan, ixtiyari kodu icra etmək qabiliyyətinə malik Node.js REPL-ə çevirərək macOS Gatekeeper yoxlamasından yan keçməyə şərait yaradır. Versiya 26.5.0 bu problemi aradan qaldırır.
Necə düzəltmək olar
- actual26.5.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| actualnpm | v < 26.5.0 | 26.5.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.