CVE-2026-42184

إصدارات Tauri من 2.0 إلى 2.10.2

تؤدي ثغرة في الدالة is local url() إلى تصنيف عناوين URL البعيدة بشكل غير صحيح على أنها مصادر محلية موثوقة في أنظمة التشغيل Windows وAndroid. على هذه المنصات، يقوم Tauri بتعيين بروتوكولات مخططات URI المخصصة إلى http://<scheme>.localhost/ لأن تطبيقات WebView لا يمكنها تقديم مخططات URI المخصصة مباشرةً. تنشأ المشكلة لأن عملية التحقق من المصادر المحلية لا تتحقق إلا من صحة النطاق الفرعي الأول لعنوان URL. يمكن للمهاجم استغلال هذا الثغرة عن طريق استضافة صفحة على نطاق يتطابق فيه النطاق الفرعي الأول مع مخطط التطبيق المخصص (على سبيل المثال، http://app.attacker.com/). وهذا يسمح لصفحة يسيطر عليها المهاجم باستدعاء أوامر الخلفية التي كان من المفترض أن تقتصر على الواجهة الأمامية للتطبيق نفسه وأن تكون محمية من المصادر الخارجية أو البعيدة.

التحديث إلى الإصدار 2.10.3.