---

📍 报告概览

[!IMPORTANT] 本报告已故意脱敏，以在 GitHub 上公开发布。敏感标识符、凭据、基础设施值以及特定客户的证据均已替换为清晰的占位符。

🧭 快速导航

• 执行摘要
• 技术分析
• 影响
• 修复
• 经验教训与缓解策略

[!TIP] 如需快速审阅，请从执行摘要和影响部分开始。如需深入技术细节，请继续阅读技术分析和修复部分。

🏷️ 标题

CVE-2026-46529 - Atril Evince XReader PDF 可点击链接远程代码执行

---

🧾 执行摘要

在 Atril 文档查看器（MATE 桌面环境的默认 PDF 查看器）及其同类软件 Evince（GNOME 查看器）和 XReader（Xfce 查看器）中发现了一个严重的 单次点击远程代码执行 (Single-Click RCE) 漏洞。该漏洞允许攻击者通过诱骗受害者点击 PDF 文件中的链接，在受害者的设备上执行恶意代码。

该漏洞的工作原理是在 PDF 文档中嵌入一个恶意链接。当用户点击该链接时，应用程序会以不安全的方式解析 URI，从而允许以当前用户的权限执行任意命令。

---

🔬 技术分析

从应用程序安全和基础设施风险的角度对该弱点进行了评估。核心问题被归类为 远程代码执行，并以脱敏形式记录，适合公开发布至作品集。

该漏洞利用了 Atril 文档查看器的 URI 处理。当用户在 PDF 文档中点击链接时，Atril 会将 URI 传递给系统以打开该链接。由于没有对链接进行充分的过滤，攻击者可以使用诸如 file:// 或 ghelp:// 等危险协议创建链接，甚至直接执行命令。

---

📊 影响

• 在受影响的应用程序上下文中执行未经授权的命令。
• 根据部署权限，可能导致服务接管、数据泄露和横向移动。

---

🛠️ 修复

---

🧠 经验教训与缓解策略

• 将每个集成边界视为不受信任，特别是当应用程序逻辑将用户控制的值转发给文件系统、shell、解析器或外部工具时。
• 安全审查应验证完整的攻击链，而不仅仅是第一个易受攻击的端点；低严重性的配置错误在链式利用中可能变得关键。
• 面向公众的文档应描述风险、根本原因和修复措施，而不得暴露操作标识符、凭据或可重用的利用工件。
• 防御控制应结合预防性验证、运行时最小权限、遥测和补丁治理，以降低可利用性和爆炸半径。

---

🧼 发布脱敏说明

• 敏感的基础设施标识符、IP 地址、主机名、凭据、哈希值和电子邮件地址已替换为明确的占位符。
• 可重用的操作证据已最小化或抽象化，以确保文档适合在 GitHub 上公开发布。
• 文档采用顾问式结构，遵循常见的安全测试报告实践，如 OWASP WSTG 报告预期。

---