یک آسیب‌پذیری امنیتی با شناسه CVE-2026-96454 در ابزار Pake کشف شده است. این ابزار که برای تبدیل وب‌سایت‌ها به اپلیکیشن‌های دسکتاپ بر پایه Tauri استفاده می‌شود، به دلیل پیکربندی‌های پیش‌فرض ناامن، دسترسی‌های سیستمی را در اختیار محتوای وب غیرقابل اعتماد قرار می‌دهد.
جزئیات فنی آسیب‌پذیری
این مشکل از ترکیب دو تنظیم پیش‌فرض در قالب‌های (Templates) بالادستی Pake ناشی می‌شود که در مجموع منجر به اعطای قابلیت‌های Native به محتوای وب می‌شود:
- دسترسی IPC گسترده: در فایل
src-tauri/capabilities/default.json، دسترسی IPC با استفاده از یک Wildcard برای تمامی آدرس‌های HTTPS تعریف شده است ("remote": { "urls": ["https://*.*"] }). این امر باعث می‌شود Tauri پیام‌های IPC را از هر منبع HTTPS بپذیرد، نه فقط سایتی که اپلیکیشن برای آن ساخته شده است. - فعال‌سازی Global Tauri: تنظیم
"withGlobalTauri": trueدر پیکربندی‌ها، دسترسی‌های Tauri را در سطح Global در دسترس قرار می‌دهد.
تاثیرات امنیتی
ترکیب این دو مورد به عامل تهدید اجازه می‌دهد تا از طریق تزریق محتوا یا هدایت کاربر به یک سایت مخرب، دستورات سیستمی را روی سیستم قربانی اجرا کرده و از قابلیت‌های Native اپلیکیشن برای نفوذ به سیستم‌عامل استفاده کند.
