Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Inkscape i koordynował proces ujawniania informacji.

Podatność CVE-2025-15523: Wersja Inkscape dla MacOS zawiera interpreter Pythona, który dziedziczy uprawnienia TCC (Transparency, Consent, and Control) nadane przez użytkownika głównej aplikacji. Atakujący mający dostęp do lokalnego konta użytkownika może uruchomić ten interpreter z dowolnymi poleceniami lub skryptami, wykorzystując wcześniej nadane uprawnienia TCC do uzyskania dostępu do plików użytkownika znajdujących się w folderach chronionych — bez wywoływania dodatkowych monitów systemowych. Dostęp do innych zasobów, które nie zostały wcześniej zatwierdzone w ramach TCC, spowoduje wyświetlenie monitu o zgodę w imieniu podatnej aplikacji, co może posłużyć do ukrycia złośliwego działania atakującego.

Problem został naprawiony w wersji 1.4.3 programu Inkscape.

Podziękowania

Za zgłoszenie podatności dziękujemy Karolowi Mazurkowi oraz Hubertowi Decyuszowi z zespołu AFINE.