XDG Desktop Portal: Path Traversal in FileChooser.SaveFiles
Zusammenfassung
XDG Desktop Portal vor Version 1.22.1 validiert die optionalen Dateinamen nicht, die an FileChooser.SaveFiles übergeben werden. Eine bösartige Sandbox-Anwendung kann damit auf dem Host ausserhalb ihrer Sandbox neue, noch nicht existierende Dateien erstellen, beschränkt auf Speicherorte, auf die der angemeldete Benutzer Zugriff hat. Voraussetzung ist, dass eine bösartige oder kompromittierte Sandbox-Anwendung (typischerweise Flatpak) auf dem System installiert ist.
Betroffen
- xdg-desktop-portal-Versionen vor 1.22.1 (bis und mit 1.22.0)
Behoben in
- Upstream xdg-desktop-portal 1.22.1
- Debian testing und unstable: 1.22.1+ds-1
- Fedora 44: 1.22.1-1.fc44
- Alpine edge: 1.22.1-r0
- Gentoo: Die neueste Version im Portage-Baum ist laut Recherche 1.20.4-r1, daher zum Zeitpunkt der Recherche noch betroffen
Umgehung
- Kein Workaround des Herstellers bekannt; Update einspielen.
- Nicht benötigte Flatpak-Anwendungen entfernen, insbesondere solche aus unsicheren Quellen, auf Linux-Systemen.
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt. CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Linux-Arbeitsstationen identifizieren, auf denen xdg-desktop-portal und Flatpak-Anwendungen laufen.
- Distributions-Updates mit xdg-desktop-portal 1.22.1 oder einem Herstellerbackport installieren; Systeme mit 1.20.x priorisieren.
- Flatpak-Installationen auf verwalteten Geräten prüfen und einschränken.
- Herstellerhinweise auf weitere Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-cm83-2936-gxjm github.com
- xdg-desktop-portal 1.22.1 release github.com
- VulDB entry 425783 vuldb.com
- Strix CVE mirror CVE-2026-55888 www.strix.ai
- NVD record via Vulners vulners.com
- Debian package tracker xdg-desktop-portal tracker.debian.org
- Fedora package xdg-desktop-portal packages.fedoraproject.org
- Gentoo package xdg-desktop-portal packages.gentoo.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.