JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-032278 Pakeの3.13.1以前のバージョンでは、JavaScriptから提供されたダウンロード用ファイル名がサニタイズされずに、download_file TauriコマンドでユーザーのDownloadsディレクトリに結合されます。パス横断シーケンス（例えば ../Library/LaunchAgents/com.evil.plist）や絶対パスを含むファイル名は~/Downloadsの外側に解決されます。その後、このコマンドは攻撃者が制御するURLから（ブラウザではなくRust HTTP経由で）コンテンツを取得し、そのパスに書き込みます。このコマンドを呼び出すスクリプトは、ユーザー書き込み可能なファイルを上書きし、永続化（macOSのLaunchAgents、Linuxの自動起動、Windowsのスタートアップ）をインストールして、ユーザーアカウントでコードを実行させる可能性があります。影響を受けるPakeツリーから生成されたすべてのデスクトップアプリは同じコマンドを公開しています。 cpe:/a:faberon:pake https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-032278.html Common Vulnerabilities and Exposures (CVE) CVE-2026-82635 https://www.cve.org/CVERecord?id=CVE-2026-82635 National Vulnerability Database (NVD) CVE-2026-82635 https://nvd.nist.gov/vuln/detail/CVE-2026-82635 GitHub fix: sanitize download filenames tw93/Pake@a5463a8 GitHub https://github.com/tw93/Pake/commit/a5463a84d6e36705ee0dd1886cf0e4b5a75b0ab4 JVNDB CWE-22 https://jvndb.jvn.jp/ja/cwe/CWE-22.html 関連文書 Release V3.13.1 Bridge tw93/Pake GitHub https://github.com/tw93/Pake/releases/tag/V3.13.1 関連文書 GitHub - tw93/Pake: Turn any webpage into a desktop app with one command. GitHub https://github.com/tw93/Pake 2026-09-07T14:11:51+09:00 2026-09-07T14:11:51+09:00