CVE-2026-96454: Pake открывает IPC-доступ любому HTTPS-источнику в сгенерированных приложениях
В Pake — инструменте, превращающем сайты в десктопные приложения на Tauri, — обнаружена уязвимость высокой критичности (CVSS 8.2). Все генерируемые приложения по умолчанию принимают IPC-вызовы с любого HTTPS-источника, что позволяет сторонним скриптам вызывать нативные команды. В сочетании с отдельной уязвимостью (CVE-2026-82635) это ведёт к записи произвольных файлов и выполнению кода.
Подробности
Уязвимость затрагивает продукт tw93 Pake. Оценка по CVSS — 8.2 (HIGH). Первая проблема заключается в конфигурационном файле src-tauri/capabilities/default.json. В нём IPC-доступ разрешён конструкцией `"remote": { "urls": ["https://*.*"] }`. Такой шаблон указывает Tauri принимать межпроцессные вызовы (IPC) с любого HTTPS-источника, а не только с того сайта, для которого приложение было собрано. Вторая — параметр `"withGlobalTauri": true` в файле src-tauri/tauri.conf.json. Он делает функцию `window.__TAURI__.core.invoke()` доступной для обычного JavaScript страницы. Ключевая особенность модели безопасности Tauri: её список контроля доступа (ACL) проверяет только команды плагинов — те, что имеют префикс `plugin:`. Команды, которые приложение регистрирует самостоятельно через `generate_handler!` (так называемые app commands), против ACL не проверяются вообще. Поэтому как только источник получает IPC-доступ, он может вызывать любую app-команду без дополнительных барьеров. Pake регистрирует команду `download_file` именно как app command, и она не фигурирует в списке разрешений, поскольку в этом нет необходимости. Практический эффект: любой скрипт, выполняющийся на любой HTTPS-странице внутри приложения Pake, может вызывать нативные команды этого приложения. Под угрозу попадает и сторонний код, который загружает сам оборачиваемый сайт, — аналитика, реклама, скомпрометированный CDN. Кроме того, каждый, кто распространяет собственное приложение на базе Pake, получает такой доступ, не запрашивая его. Особую опасность уязвимость приобретает в цепочке с обходом пути в `download_file`, отслеживаемым отдельно как CVE-2026-82635. Совместная эксплуатация обеих проблем приводит к записи произвольных файлов и устойчивому выполнению кода.Что делать
Разработчикам, использующим Pake, рекомендуется отказаться от широкого шаблона `"remote": { "urls": ["https://*.*"] }` и ограничить IPC-доступ только теми источниками, которые действительно необходимы приложению. Следует также проверить целесообразность включения `withGlobalTauri` и, где возможно, отключить глобальный доступ к API Tauri. Необходимо отслеживать обновления Pake и Tauri, устраняющие проблему, и по возможности обновить зависимости до исправленных версий. До выхода патча стоит рассматривать любые приложения Pake, работающие с недоверенным или сторонним веб-контентом, как потенциально скомпрометированные. Итог: конфигурация по умолчанию в Pake сводит на нет разграничение доступа Tauri для собственных команд приложения, а в связке с CVE-2026-82635 открывает путь к выполнению произвольного кода. Пользователям и сборщикам приложений Pake следует ограничить IPC-доступ до конкретных источников и оперативно применить исправления.Источник: CVE Project (cvelistV5)