CVE-2026-42184

Tauri: Origin Confusion Allows Remote Pages to Invoke Local-Only IPC Commands

CVSS 3.1Medium

6.1/ 10.0

Опубликовано

27 мая 2026 г.

Обновлено

27 мая 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.11.1

Обновите зависимость Tauri до версии 2.10.3 (или 2.11.1+ в зависимости от ветки).

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Спуфинг доверенного origin в Tauri через некорректную проверку поддоменов.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Функция is_local_url() на Windows и Android сопоставляет кастомные URI-схемы с http://<scheme>.localhost/, проверяя лишь первый поддомен. Удаленный сайт на домене с соответствующим префиксом расценивается как доверенный локальный origin.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Удаленная веб-страница злоумышленника получает доступ к вызову закрытых локальных IPC-команд приложения.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

tauri-appstauri

>= 2.0➔Fix: 2.11.1

——

>= 2.0.0➔Fix: 2.11.1

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

github.comhttps://github.com/tauri-apps/tauri/security/advisories/GHSA-7gmj-67g7-phm9

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-42184: Tauri: Origin Confusion Allows Remote Pages to Invoke Local-Only IPC Commands. URL: https://cve.futuretools.ru/cve/CVE-2026-42184

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_42184,
  title = {{CVE-2026-42184: Tauri: Origin Confusion Allows Remote Pages to Invoke Local-Only IPC Commands}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-42184}},
  note = {Оперативный инженерный анализ киберугроз}
}