PT-2025-26609 · Xdg-Utils+1 · Xdg-Utils+1
Mingi Jung
·
Publicado
2025-06-23
·
Atualizado
2025-06-24
·
CVE-2025-52968
CVSS v3.1
2.7
Baixa
| Vetor | AV:L/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas:
Versões do xdg-utils de 1.1.0 a 1.2.1
Versão 1.2.1 do xdg-utils
Descrição:
O problema diz respeito ao xdg-open no xdg-utils, que pode enviar solicitações contendo cookies SameSite=Strict. Isso pode facilitar ataques de Falsificação de Solicitação Entre Sites (CSRF). O problema é contestado porque as integrações do xdg-open tipicamente não fornecem informações sobre se o comando e os argumentos do xdg-open foram inseridos manualmente por um usuário ou resultaram de navegação a partir de conteúdo em uma origem não confiável.
Recomendações:
Para as versões do xdg-utils de 1.1.0 a 1.2.1, considere modificar o xdg-open para associar o x-scheme-handler/https à execução de um navegador usando opções de linha de comando que garantam um armazenamento de cookies vazio, embora isso adicione complexidade substancial e possa não ser desejável para todos os usuários.
Para a versão 1.2.1 do xdg-utils, como um contorno temporário, considere restringir o uso do xdg-open para minimizar o risco de ataques CSRF até que uma solução mais adequada esteja disponível.
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Debian
Xdg-Utils