CVE-2026-40501
Açıklama
Cherry Studio'nun 1.2.2 ile 1.9.12 arasındaki sürümleri, 1518530 numaralı commit ile düzeltilen ve SearchService bileşeninde bulunan bir uzaktan kod çalıştırma zafiyeti içermektedir. Bu zafiyet; nodeIntegration etkinleştirilmiş ve contextIsolation devre dışı bırakılmış şekilde yapılandırılan bir Electron BrowserWindow içine yüklenen, kontrol edilen arama sağlayıcı içeriği aracılığıyla kötü amaçlı JavaScript göndererek uzak saldırganların rastgele kod çalıştırmasına olanak tanır. Bir arama motoru sağlayıcısını, bireysel arama sonuç sayfalarını veya sağlayıcı ayarları sayfalarını kontrol eden saldırganlar, tam Node.js ayrıcalıklarıyla JavaScript çalıştırabilir ve Cherry Studio işleminin işletim sistemi hesabı altında fs, child_process, os ve process.env modüllerine erişim sağlayabilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| CherryHQ cherry-studio | 1.2.2 ≤ v ≤ 1.9.12, f9c6bddae5b91cc50872c76e791105fa219d0d34 ≤ v ≤ 151853035e8e417a51559ebfc243eda98361a882 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.