关键信息摘要 漏洞详情： CVE ID: CVE-2025-62686 标题: Plugin Alliance InstallationHelper 漏洞允许 Dynamic Library Injection 受影响产品: - Plugin Alliance Installation Manager ≤ 1.4.0 受影响组件: InstallationHelper, macOS dyld 动态库加载器 漏洞类型: Insecure Permissions / Improper Restriction of Code Injection 攻击类型: 本地 漏洞描述： 安装程序中的本地权限提升漏洞可以允许本地攻击者通过设置 DYLD_XXX 环境变量注入恶意的动态库。这导致注入的代码在 root 权限下运行，引起完全系统妥协。 技术细节： Helper 的二进制文件缺少 段和 hardened runtime，使得 macOS 无法阻止使用脆弱的 变量注入动态库。 Helper 程序运行时以 root 执行，代码签名和 段均缺失，这使得攻击面持续公开。 概念验证 (PoC): 成功向 注入动态库 - 使用恶意构造的 ，其构造函数写入进程信息且尝试通过 Python Shell 构造函数创建一个 Python 反向 Shell 缓解建议： 启用 hardened runtime 添加 段 披露时间线：