یک آسیب‌پذیری امنیتی با شناسه CVE-2026-95627 در فریم‌ورک Tauri شناسایی شده است که می‌تواند منجر به دسترسی گسترده به فایل‌های سیستم کاربر شود. این نقص امنیتی در بخش dialog plugin و به‌طور مشخص در ابزارهای انتخاب فایل (File Picker) و پوشه (Folder Picker) رخ می‌دهد.
جزئیات فنی حمله
در صورتی که یک مهاجم بتواند کد JavaScript را در محیط اپلیکیشن اجرا کند (مثلاً از طریق یک حمله XSS)، می‌تواند کاربر را فریب دهد تا روی یک پنجره استاندارد انتخاب فایل در سیستم‌عامل کلیک کند. با این حال، مهاجم می‌تواند تنظیمات Scope Expansion را به صورت بازگشتی (Recursive) تغییر دهد.
پیامدهای امنیتی
- دسترسی گسترده: تنها با یک کلیک ساده از سوی کاربر، مهاجم به دسترسی خواندن و نوشتن (Read/Write) در کل درخت دایرکتوری (Directory Tree) دست می‌یابد.
- عدم آگاهی کاربر: کاربر هیچ هشدار یا نشانه‌ای دریافت نمی‌کند که دسترسی بازگشتی به پوشه‌ها اعطا شده است.
- ماندگاری دسترسی: یک بار که این محدوده (Scope) گسترش یابد، تا پایان چرخه حیات (Lifetime) اجرای اپلیکیشن، امکان لغو یا بازگرداندن این دسترسی وجود ندارد.
این آسیب‌پذیری با سطح شدت HIGH طبقه‌بندی شده است و توسعه‌دهندگانی که از Tauri برای ساخت اپلیکیشن‌های دسکتاپ استفاده می‌کنند، باید سریعاً نسخه‌های خود را بررسی و به‌روزرسانی کنند.
