یک آسیب‌پذیری امنیتی با شناسه CVE-2026-95626 در فریم‌ورک Tauri شناسایی شده است که شدت آن High ارزیابی شده است. این نقص مربوط به نحوه پیاده‌سازی سخت‌گیرانه سیاست‌های امنیتی محتوا (Content Security Policy یا CSP) در این فریم‌ورک است.
جزئیات فنی نقص امنیتی
در حالت عادی، Tauri برای محدود کردن اجرای اسکریپت‌ها از یک nonce تصادفی استفاده می‌کند تا از اجرای کدهای غیرمجاز جلوگیری کند. با این حال، مشخص شده است که اگر اپلیکیشن در دستورالعمل script-src خود از مقادیر data: یا blob: استفاده کند، این لایه حفاظتی عملاً بی‌اثر می‌شود.
تحلیل ریسک
- طبق مشخصات CSP Level 3، منابعی که از این طرح‌ها (Schemes) استفاده می‌کنند، حتی در حضور nonce فعال می‌مانند.
- این موضوع به مهاجم اجازه می‌دهد تا بدون نیاز به دانستن مقدار nonce، اسکریپت‌های دلخواه خود را اجرا کرده و منجر به Arbitrary Script Execution شود.
