30秒で判断
- 対応すべき人: Pake でデスクトップアプリを生成・配布している開発者、および該当アプリを利用しているユーザー。
- 対応不要な人: Pake を利用していない／生成物を配布していない／既に 3.13.1 以降でビルドしている。
- 確認ポイント: 生成に使った Pake のバージョンと、
download_fileコマンドを呼び出す信頼できないスクリプトの有無を確認。
概要
Pake は Web サイトを軽量なデスクトップアプリにパッケージングするツール（Tauri ベース）です。本脆弱性は download_file Tauri コマンドに存在します。JavaScript 側から渡されたファイル名がサニタイズされずにユーザーのダウンロードディレクトリへ結合されるため、パストラバーサル列（例: ../）や絶対パスを含めると ~/Downloads の外へ解決されます。
コマンドは指定URLの内容を（ブラウザではなく Rust の HTTP 経由で）取得し、その任意パスへ書き込みます。macOS の LaunchAgents、Linux の autostart、Windows のスタートアップ等へ書き込むことで永続化とユーザー権限でのコード実行に至る可能性があります。Pake で生成された全てのデスクトップアプリが同じコマンドを露出します。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 8.8（High） |
| CWE | CWE-22（パストラバーサル） |
| 影響 | 任意パスへの書き込み・永続化・コード実行 |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| Pake | 3.13.1 未満 |
修正バージョンと回避策
- Pake を 3.13.1 以降へ更新し、生成済みアプリを再ビルド・再配布してください。
- 配布済みアプリの利用者には、修正版への更新を案内してください。
関連リンク
データソース: NVD (NIST), GitHub AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。