PT-2025-37917 · Unknown · Sparkle Framework

Karmaz95 · Publicado 2025-09-16 · Atualizado 2025-09-16 · CVE-2025-10015

Positive Technologies (AI Summary) · Pt

CVSS v4.0

4.8

Média

Vetor base

AV:L/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do framework Sparkle anteriores à 2.7.2

Descrição O framework Sparkle inclui um serviço XPC, Downloader.xpc, que é, por padrão, privado do aplicativo com o qual está empacotado. Um atacante local, não privilegiado, pode registrar este serviço XPC globalmente, herdando as permissões TCC do aplicativo. A falta de validação dos clientes que se conectam permite ao atacante copiar arquivos protegidos pelo TCC para um local arbitrário. O acesso a outros recursos além das permissões concedidas requer interação do usuário com um prompt do sistema solicitando permissão.

Recomendações Atualize para a versão 2.7.2 ou posterior do framework Sparkle.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2025-10015

Produtos afetados

Sparkle Framework

Referências · 7

• https://github.com/sparkle-project/Sparkle · Nota
• https://github.com/sparkle-project/Sparkle/discussions/2764 · Aviso do Fabricante
• https://cert.pl/en/posts/2025/09/CVE-2025-10015 · Nota
• https://t.me/CVEtracker/32618 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-10015 · Nota de Segurança
• https://twitter.com/CVEnew/status/1967965152336388386 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-10015 · Aviso do Fabricante