CVE-2025-30465

Nieprawidłowe uprawnienia w Apple Shortcuts — nieautoryzowany dostęp do plików

CVSS 9.8v3.1pub. 2025-03-31upd. 2026-04-02

Podatność w aplikacji Shortcuts na iPadOS i macOS umożliwia skrótom dostęp do plików, które normalnie są przed nią chronione. Wysoki wynik CVSS (9.8) wskazuje na poważne ryzyko naruszenia poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

A permissions issue was addressed with improved validation. This issue is fixed in iPadOS 17.7.6, macOS Sequoia 15.4, macOS Sequoia 15.7.2, macOS Sonoma 14.7.5, macOS Sonoma 14.8.2, macOS Tahoe 26.1, macOS Ventura 13.7.5. A shortcut may be able to access files that are normally inaccessible to the Shortcuts app.

🤖 Analiza AI

Jak działa

Problem wynika z nieprawidłowej walidacji uprawnień (CWE-276 — Incorrect Default Permissions). Aplikacja Shortcuts działa w środowisku z ograniczonym dostępem do systemu plików, jednak błąd w mechanizmie weryfikacji uprawnień pozwala specjalnie przygotowanemu skrótowi ominąć te ograniczenia. W efekcie skrót może odczytywać lub modyfikować pliki, do których nie powinien mieć dostępu. Apple rozwiązał problem poprzez wprowadzenie ulepszonej walidacji uprawnień.

Skutki

Atakujący lub złośliwy skrót może uzyskać nieautoryzowany dostęp do chronionych plików użytkownika lub systemu, co może prowadzić do kradzieży poufnych danych, ich modyfikacji lub usunięcia.

Mitygacja

Należy zaktualizować system do jednej z poprawionych wersji: iPadOS 17.7.6, macOS Sequoia 15.4 lub 15.7.2, macOS Sonoma 14.7.5 lub 14.8.2, macOS Ventura 13.7.5, macOS Tahoe 26.1. Szczegółowe informacje dostępne są w referencjach producenta pod adresami support.apple.com.

Kogo dotyczy

iPadOS w wersjach przed 17.7.6; macOS Sequoia w wersjach przed 15.4 oraz przed 15.7.2; macOS Sonoma w wersjach przed 14.7.5 oraz przed 14.8.2; macOS Ventura w wersjach przed 13.7.5; macOS Tahoe w wersjach przed 26.1.