Readest : accès arbitraire à des fichiers depuis le webview privilégié

Veille sécuritéFrontend

P3Élevée

Dans les versions desktop Tauri de Readest antérieures à 0.11.10, des commandes accessibles depuis le webview acceptaient des chemins contrôlés par celui-ci sans vérification suffisante du périmètre de fichiers. Si du JavaScript s’exécute dans l’origine privilégiée de l’application, il peut provoquer la lecture ou l’écriture de fichiers accessibles au processus; installer Readest 0.11.10 ou une version ultérieure.

IdentifiantCVE-2026-57567

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.11.10

Source : NVD — CVE-2026-57567

Analyse technique

Les commandes download_file et upload_file transmettaient des chemins contrôlés par le webview à File::create et File::open sans valider le périmètre Tauri ni bloquer chemins absolus et traversées de répertoires.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-04 à 22:18:07 UTC, soit le 2026-11-05 à 00:18:07 +02:00, dans la période demandée.

ImpactLecture de fichiers sensibles ou écriture/écrasement de fichiers accessibles au compte exécutant l’application, sous la condition d’une exécution JavaScript dans l’origine privilégiée.

Versions affectéesVersions desktop Tauri de Readest antérieures à 0.11.10

Version corrigée0.11.10

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.6

EPSS0,66% · percentile 51,9%

Publication2026-11-05T00:18:07+02:00

Mise à jour2026-11-05T22:17:59+02:00

Action recommandée

Mettre à niveau vers Readest 0.11.10 ou ultérieur; limiter également l’exécution de JavaScript non fiable dans l’origine privilégiée de l’application.

Sources

NVD — CVE-2026-57567

Priorisation DFS : P3 · 1 source(s).