CVE-2026-95624
Açıklama
Tauri updater eklentisinin 'check' IPC komutu, ön uç JavaScript kodundan doğrudan bir allowDowngrades boolean parametresi kabul eder. Bu değer true olarak ayarlandığında, versiyon karşılaştırıcısını "güncelleme daha yeni olmalı"dan "güncelleme farklı olmalı"ya dönüştürür. Varsayılan izin seti webview'a allow-check yetkisi verdiği için, uygulama ön ucundaki herhangi bir XSS, bu komutu çağırabilir ve güncelleyicinin sunduğu tek geri alma korumasını (anti-rollback) atlatabilir. Başka bir hata ile birleştiğinde bu durum, daha yüksek bir versiyon numarası taklit etmeye gerek kalmadan sürüm düşürme saldırılarını mümkün kılar.
Nasıl düzeltilir
- Tauri tauri-plugin-updater2.12.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Tauri tauri-plugin-updater | 2.8.0 ≤ v < 2.12.0 | 2.12.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.