Readest: أوامر Tauri IPC غير المحددة download_file/upload_file تسمح بقراءة وكتابة ملفات محلية عشوائية من واجهة الويب

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

Readest هو قارئ كتب إلكترونية حديث وغني بالميزات. في إصدارات سطح المكتب المتأثرة من Tauri قبل الإصدار 0.11.10، كانت أوامر download_file وupload_file في apps/readest-app/src-tauri/src/transfer_file.rs تقبل معامل file_path يتحكم فيه عرض الويب وتمرره إلى File::create أو File::open دون التحقق من نطاق نظام ملفات Tauri، أو رفض المسارات المطلقة، أو حظر اجتاز الدليل الأصل. تم تسجيل الأوامر في معالج الاستدعاء العام لنوافذ رئيسية وupdater وreader-*، بحيث يمكن لجافا سكريبت التي يتم تنفيذها في أصل التطبيق الممتاز كتابة محتوى يسيطر عليه المهاجم إلى أي مسار يمكن العملية الكتابة فيه، أو قراءة وإرسال أي مسار يمكن العملية قراءته. يتطلب الاستغلال تنفيذ جافا سكريبت في ذلك الأصل الممتاز، مثل عبر ثغرة XSS في التطبيق أو عارض مخترق؛ ولم يتم إثبات ما إذا كان بإمكان جافا سكريبت المضمنة في الكتب الوصول إلى الأصل الأصل. يمكن لخصائص الكتابة الكتابة فوق الملفات الموثوقة أو الخاصة ببدء التشغيل، بينما يمكن لخصائص القراءة كشف مفاتيح ورموز وأسرار التطبيق. تم إصلاح هذه المشكلة في الإصدار 0.11.10.

المعالجة

1. أحصِ جميع نشرات readest readest، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• مرجعhttps://github.com/readest/readest/security/advisories/GHSA-55vr-pvq5-6fmg
• مرجعhttps://github.com/readest/readest/pull/4639
• مرجعhttps://github.com/readest/readest/pull/4651
• مرجعhttps://github.com/readest/readest/commit/4025c4d7b52c8c174ec1d4c02c2a864cce249604
• مرجعhttps://github.com/readest/readest/commit/446c2c72de198de2dfcd63589f549ca517961d15
• مرجعhttps://github.com/readest/readest/releases/tag/v0.11.10