关键漏洞信息 CVE-2025-53964 风险评估 CVSS v3: AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L - 9.6/10 描述 GoldenDict 1.5.0 和 1.5.1 版本中存在一个暴露的危险方法，允许用户在添加恶意字典并搜索其中包含的任何术语时读取和修改文件。 附加信息 产品提供了与外部行为者交互的接口，其中包括 GoldenDict（版本 1.5.0、1.5.1）中的一个未正确限制的危险方法。这使得远程攻击者在添加并使用准备好的恶意字典时能够访问和修改用户文件系统上的文件。 漏洞类型 CWE-749: 暴露危险的方法或函数 CWE-79: 在网页生成期间对输入进行不正确的中和（跨站脚本） 产品供应商 GoldenDict Project 受影响的产品代码库 GoldenDict - 1.5.0, 1.5.1 受影响的组件 GoldenDict 可执行文件、源代码文件 xdfx.cc、源代码文件 xdfx2html.cc、源代码文件 stardict.cc。 攻击类型 远程 影响代码执行 true 影响信息泄露 true CVE 影响其他 访问用户文件系统上的读取和修改文件 攻击向量 要利用此漏洞，用户必须将恶意字典添加到程序中并搜索该字典中包含的任何术语。 发现者 Grebennikov Timofey，Astra Group 安全控制部门渗透测试组的专家。 参考 https://github.com/goldendict/goldendict/releases 详细信息 GoldenDict 是一个用于在 Wikipedia 和本地安装的词典中搜索术语的图形程序。支持各种词典格式，包括带有 XML 标记的 XDXF 格式。词典通过互联网由其他用户分发。 程序使用浏览器引擎（包含在 Qt Widgets 组件包中），以渲染和显示来自词典的单词。 一次发现了多个安全违规行为，这些违规行为允许实现关键漏洞： 1. 缺乏对 XML 内容的清理； 2. 缺乏对 JS 代码执行的禁止； 3. 禁用或弱化的 CSP 策略。 总之，这些违规行为导致了通过在从互联网下载的 XDXF 字典的 XML 标记中嵌入恶意 JS 代码来获取对用户文件的访问的可能性。 概念验证 PoC 将在漏洞发布后 90 天内添加到此页面，或者在供应商发布官方补丁后尽快添加。