- Yama var
- Son 7 gün
- CWE-22
CVE-2026-55888
XDG Desktop Portal'da SaveFiles dosya adı seçeneği nedeniyle dizin geçişi ile keyfi dosya erişimi
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
XDG Desktop Portal, masaüstü entegrasyonu sağlayan bir portaldir. 1.22.1 sürümünden önce, kötü niyetli sandbox içindeki uygulamalar FileChooser.SaveFiles metodunu kullanarak ana sistemde henüz var olmayan dosyalara keyfi erişim elde edebilir (erişim yalnızca kullanıcının erişebildiği dosyalarla sınırlıdır). FileChooser.SaveFiles metodu, arka uç servisleri tarafından seçilen dizine eklenen isteğe bağlı dosya adlarını kabul eder. Arka uçların, dosyanın henüz var olmadığını kontrol etmesi gerekir. Ancak dosya adları ne ön uç tarafından ne de yaygın arka uçlar tarafından doğrulanmaktadır. Sorun 1.22.1 sürümünde giderilmiştir. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N
Kaynaktaki açıklama (İngilizce)
XDG Desktop Portal is a desktop integration portal. Prior to version 1.22.1, malicious sandboxed applications can use the FileChooser.SaveFiles method to gain arbitrary file access to non-existing files on the host (limited to files the user has access to). The FileChooser.SaveFiles method takes optional filenames which get appended to the selected directory by backends. The backends are supposed to check that the file does not exist yet. The filenames are not validated by the frontend and also not by common backends. This issue has been patched in version 1.22.1.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| flatpak xdg-desktop-portal | < 1.22.1 | 1.22.1 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.