CVE-2026-96454

Pake, bir web sitesini Tauri tabanlı bir masaüstü uygulamasına dönüştürür. Oluşturduğu her uygulama, üst şablondan iki ayar devralır ve bu ayarlar birlikte güvenilmeyen web içeriğine yerel işlevsellik sağlar. Birincisi, `src-tauri/capabilities/default.json` dosyasında bulunur ve `"remote": { "urls": ["https://*.*"] }` ile IPC erişimi sağlar. Bu joker karakter, Tauri'ye yalnızca uygulamanın sarmalamak için oluşturulduğu siteyi değil, herhangi bir HTTPS kaynağını kabul etmesini söyler. İkincisi ise `src-tauri/tauri.conf.json` dosyasındaki `"withGlobalTauri": true` ayarıdır; bu ayar, `window.__TAURI__.core.invoke()` fonksiyonunu standart sayfa JavaScript'inin erişimine açar. Tauri'nin erişim kontrol listesi (ACL) yalnızca `plugin:` ön ekiyle başlayan eklenti komutlarını denetler. Uygulamanın `generate_handler!` aracılığıyla kendisinin kaydettiği ve "uygulama komutları" olarak bilinen komutlar asla ACL üzerinden denetlenmez. Dolayısıyla, bir kaynak IPC erişimine sahip olduğunda, önünde hiçbir engel olmadan tüm uygulama komutlarını çağırabilir. Pake, `download_file` fonksiyonunu bir uygulama komutu olarak kaydeder ve buna gerek olmadığı için izinler listesinde görünmez. Bunun pratik etkisi, bir Pake uygulaması içindeki herhangi bir HTTPS sayfasında çalışan herhangi bir betiğin, uygulamanın yerel komutlarını çağırabilmesidir. Buna, sarmalanan sitenin kendi başına yüklediği analiz, reklam veya ele geçirilmiş bir CDN gibi üçüncü taraf betikler de dahildir. Kendi Pake uygulamasını dağıtan herkes, talep etmeksizin aynı erişime sahip olur. Ayrı olarak CVE-2026-82635 ile takip edilen `download_file` içerisindeki dizin atlama (path traversal) zafiyeti ile zincirlendiğinde, bu durum rastgele dosya yazımına ve kalıcı kod yürütmeye olanak tanır.