CVE-2020-27748

xdg-utils versões 1.1.0-rc1 e posteriores

Foi encontrada uma falha no componente xdg-email. Ao lidar com URIs do tipo mailto:, o xdg-email permite que anexos sejam discretamente adicionados por meio da URI ao serem repassados para o Thunderbird. Um invasor poderia enviar à vítima uma URI que anexasse automaticamente um arquivo confidencial a um novo e-mail. Se o usuário vítima não perceber que um anexo foi adicionado e enviar o e-mail, isso poderia resultar na divulgação de informações confidenciais.

Para as versões 1.1.0-rc1 e posteriores do xdg-utils, considere desativar o tratamento de URIs mailto: no componente xdg-email até que um patch esteja disponível. Restrinja o acesso a arquivos confidenciais para minimizar o risco de exploração. Evite usar o componente xdg-email para lidar com URIs mailto: que possam incluir anexos até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.