CVE-2026-44225
严重已发布
Pulpy：pulpy.fs 桥接器中的文件系统沙箱不完整，允许打包的 Web 应用读取任意用户文件
- 已发布
- 2026年5月12日
- 已更新
- 2026年5月14日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年7月6日
初级CVSS
9.3/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N1.3%
低 · 未来 30 天
- 百分位
- 69.8%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Pulpy 是一款轻量级、跨平台的 Web 应用桌面打包工具。在 0.1.1 之前，Pulpy 会向每个打包的 Web 应用注入一个 pulpy.fs JavaScript API，使其能够访问主机文件系统。validateFsPath() 函数本应对该访问进行沙箱隔离，但其阻止列表不完整。任何使用 Pulpy 打包的 Web 应用都可以读取和写入用户主目录中的任意文件——包括 ~/.ssh/id_rsa、~/.aws/credentials 和 ~/Library/Keychains/。该漏洞已在 0.1.1 中修复。
来源
1Onur BILICI · multiple · 2026年7月6日
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。