„`html
Zusammenfassung
Die Schwachstelle CVE-2026-82635 betrifft Pake-Versionen vor 3.13.1 und ermöglicht Path-Traversal-Angriffe durch unsanitierte Dateinamen in der download_file Tauri-Kommando. Angreifer können dadurch beliebige Dateien auf dem System schreiben und Code-Ausführung erlangen.
Betroffene Systeme
- Pake < 3.13.1
- Alle Desktop-Anwendungen, die auf betroffenen Pake-Versionen basieren
- Betriebssysteme: macOS, Linux, Windows
Technische Details
Das download_file Kommando validiert JavaScript-gelieferte Dateinamen nicht ausreichend, bevor diese mit dem Downloads-Verzeichnis kombiniert werden. Ein Angreifer kann Path-Traversal-Sequenzen wie ../Library/LaunchAgents/com.evil.plist oder absolute Pfade verwenden, um außerhalb von ~/Downloads zu schreiben.
Das System lädt dann Inhalte von einer attacker-kontrollierten URL mittels Rust HTTP (nicht über den Browser) herunter und speichert diese an dem manipulierten Ziel-Pfad. Dies ermöglicht:
- macOS: Installation von Launch Agents für Persistenz
- Linux: Manipulation von Autostart-Verzeichnissen
- Windows: Platzierung von Dateien im Startup-Ordner
Die Schwachstelle ist besonders kritisch, da sie aus JavaScript invokierbar ist und dadurch das gesamte Pake-Framework gefährdet. Jede darauf basierende Anwendung weist die gleiche Verwundbarkeit auf.
Empfohlene Massnahmen
- Sofortiges Update: Aktualisierung auf Pake 3.13.1 oder neuer durchführen
- Eingabevalidierung: Strikte Sanitisierung aller Dateinamen-Eingaben implementieren
- Path-Normalisierung: Ziel-Pfade kanonikalisieren und gegen Escape-Versuche prüfen
- Zugriffsrechte: Prinzip der minimalen Berechtigung einhalten
- Monitoring: Überwachung verdächtiger Datei-Schreibvorgänge aktivieren
Bewertung
CVSS Score: 8.8 (High)
Die Vulnerability ermöglicht Remote Code Execution mit hohem Angriffspotential. Da kein Patch verfügbar ist, ist sofortige Mitigation erforderlich. Netzwerk-basierte Angriffsvektoren kombiniert mit mangelnder Eingabevalidierung führen zu kritischer Risikobewertung.
„`