PT-2025-37918
CVE-2025-10016
·
تاريخ النشر
2025-09-16
·
تاريخ التحديث
2025-10-29
الوصف من
CVSS 4.0
8.8
عاليةالمقاييسAV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Sparkle الأقدم من 2.7.2
الوصف
لا تتضمن أداة Autoupdate التابعة لإطار عمل Sparkle آلية مصادقة للعملاء المتصلين. وهذا يسمح لمهاجم محلي، لا يمتلك أي امتيازات، بطلب تثبيت ملف PKG ضار تم إنشاؤه خصيصًا لهذا الغرض، مما يؤدي إلى رفع الامتيازات المحلية إلى امتيازات الجذر. يمكن تشغيل أداة Autoupdate يدويًّا عبر خدمة Installer XPC، لكن هذا يتطلب من الضحية إدخال بيانات الاعتماد عند ظهور مربع حوار تفويض النظام، والذي يمكن للمهاجم تعديله.
التوصيات
قم بالتحديث إلى الإصدار 2.7.2.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾