sirredbeard/webkitgtk-dnd-fixवेबकिटजीटीके फ़ाइल DnD पुनर्स्थापना के लिए निजी अनुसंधान और सत्यापन (CVE-2025-13947 अनुवर्ती)
CVE-2025-13947 के बाद WebKitGTK और WPE पर विश्वसनीय फ़ाइल ड्रैग-एंड-ड्रॉप को बहाल करने के लिए शोध और CI नोटबुक।
CVE-2025-13947 (WSA-2025-0009, GHSA-j77f-3hf7-7rvg) ने वेब सामग्री को WebKitGTK पर ड्रैग-एंड-ड्रॉप के माध्यम से स्थानीय फ़ाइल सामग्री पढ़ने दिया। अपस्ट्रीम फिक्स, bugs.webkit.org 303434, एक व्यापक अक्षमीकरण था: allowsFileAccess() सभी गैर-Cocoa पोर्ट पर false लौटाता है, इसलिए हर ड्रॉप के लिए dataTransfer.files खाली होता है, जिसमें उपयोगकर्ता द्वारा फ़ाइल प्रबंधक से अपलोड लक्ष्य पर अपनी स्वयं की फ़ाइल खींचना भी शामिल है। एपिफेनी-शैली ब्राउज़र और एम्बेडेड WebKitGTK अपलोड UI ने यह सुविधा खो दी। बग 320301 उसी प्रतिगमन की एक अंतिम-उपयोगकर्ता रिपोर्ट है।
सुविधा को अक्षम करने के बजाय प्लेटफ़ॉर्म सीमा पर विश्वास को विभाजित करें। इंजन फोर्क पर एक कमिट, sirredbeard/WebKit शाखा gtk-dnd-file-access-reenable:
SelectionData::setURIList() अब uri-list पंक्तियों को फ़ाइलनामों में प्रचारित नहीं करता। फ़ाइल अनुदान केवल स्पष्ट सेटर्स से आते हैं जिनका उपयोग दो UIProcess ड्रॉप लक्ष्यों और IPC डिकोड द्वारा किया जाता है।allowsFileAccess() केवल GTK और WPE पर वास्तविक फ़ाइल ड्रैग के लिए true लौटाता है।GdkFileList समानांतर uri-list पर जीतता है, दोनों पथों पर समान फ़ाइल URI होस्ट जांच लागू होती है।file:// पंक्तियों को हटा देते हैं और कभी भी GdkFileList निर्यात नहीं करते।file://host/path अस्वीकार कर दिया जाता है जब तक कि होस्ट खाली या localhost न हो।filenames अपने स्वयं के क्षेत्र के रूप में IPC पार करता है और वेब प्रक्रिया प्रतिलिपि ड्रैग प्रारंभ पर साफ़ हो जाती है।वेब-लेखित ड्रैग स्रोतों को कोई फ़ाइल सामग्री नहीं मिलती। बाहरी फ़ाइलों के उपयोगकर्ता ड्रॉप dataTransfer.files अनुदान देते हैं। क्लिपबोर्ड ऑडिट होने तक पेस्ट अक्षम रहता है।
2026-09-03 को अपस्ट्रीम दायर किया गया।
2fd5c6cb7ea7, ट्री bc272e2a5ebe, वर्तमान अपस्ट्रीम main परd364838bce86 के लिए दर्ज किए गए हैं; वर्तमान ट्री पर पुनः चलाना बकाया हैfindings/findings/upstream-strategy.mdfindings/testing-plan.mdbug_report.md.github/copilot-instructions.mdmain पर एकल स्क्वैश कमिट, कोई अन्य शाखा नहीं। पैकेजिंग और GUI सत्यापन तंत्र जो इंजन-केवल दृष्टिकोण से पहले था, हटा दिया गया; findings/ निष्कर्षों को गद्य में रखता है।