Wails: validação de origens com carateres universais permite chamar métodos de uma origem falsa
No Wails, das versões 2.0.0 até antes da 2.13.0, carateres universais mal expandidos permitem que uma origem parecida com a permitida invoque métodos Go expostos pela aplicação. Corrigido na 2.13.0. O NVD ainda não publicou a pontuação CVSS.
- Identificador: CVE-2026-34157
- Publicado em: 2026-11-05
- Pontuação CVSS: ainda não publicada pelo NVD
Descrição (texto original em inglês):
Wails is a framework for building desktop applications using Go and web technologies. From 2.0.0 until 2.13.0, BindingsAllowedOrigins in v2/internal/frontend/originvalidator/originValidator.go passes wildcard patterns to wildcardPatternToRegex, which expands every asterisk to an unrestricted regular-expression match. (texto reduzido: os pormenores técnicos da exploração não são reproduzidos)
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnica MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1189, Comprometimento por navegação (Drive-by Compromise)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (github.com)github.com
- Referência (github.com)github.com
- Referência (github.com)github.com
- Técnica MITRE ATT&CK T1189attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.