CVE-2025-31477
Açıklama
Tauri shell eklentisi sistem kabuğuna erişim sağlar. 2.2.1 sürümünden önce, Tauri shell eklentisi sistemde kod yürütme ve program açma işlevselliği sunmaktadır. Bu eklentinin open uç noktası, sistem açıcısı (örneğin Linux'ta xdg-open) ile açma işlevselliğine izin verecek şekilde tasarlanmıştır. Bunun varsayılan olarak https veya mailto gibi makul sayıda protokolle sınırlandırılması amaçlanmıştı. İzin verilen protokollerin hatalı doğrulanması nedeniyle bu varsayılan kısıtlama işlevsel değildi; bu durum file://, smb://, nfs:// ve diğer potansiyel olarak tehlikeli protokollerin sistemde kayıtlı protokol işleyicisi tarafından açılmasına olanak tanıyordu. Güvenilmeyen kullanıcı girdilerinin open uç noktasına iletilmesiyle, bu potansiyel olarak tehlikeli protokoller sistem üzerinde uzaktan kod çalıştırma sağlamak için kötüye kullanılabilir. Bu durum, ya uç noktanın uygulama kullanıcılarına doğrudan açık olmasını ya da bir Tauri uygulamasının ön yüzünde kod çalıştırılmasını gerektirir. Bu güvenlik açığı 2.2.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- tauri plugin-shell2.2.1 ya da sonraki bir sürüm
- tauri-plugin-shell2.2.1 ya da sonraki bir sürüm
- @tauri-apps/plugin-shell2.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tauri plugin-shell | v < 2.2.1 | 2.2.1 |
| tauri-plugin-shellcrates.io | v < 2.2.1 | 2.2.1 |
| @tauri-apps/plugin-shellnpm | v < 2.2.1 | 2.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.