关键信息 漏洞标题: EXE: Excessive permissions during and after installation 严重性: High (7.8/10) CVE ID: CVE-2025-64343 影响的版本: < 3.13.0 修复版本: None CVSS v3 基础指标: 攻击向量: Local 攻击复杂度: Low 权限要求: Low 用户交互: None 作用范围: Unchanged 机密性影响: High 完整性影响: High 可用性影响: High 描述: 即使单用户和所有用户的安装结果不同，该漏洞具有相同的原因并需要相同的修复。由于安装目录继承其父目录的权限，在受限制的目录之外，权限非常宽松，通常允许经过身份验证的用户进行写入访问。 冲击: 安装目录继承其父目录的权限。 在受限制的目录之外，权限非常宽松，通常允许经过身份验证的用户进行写入访问， 让任何登录用户都能够在安装过程中进行修改，对单用户和所有用户安装都是如此。如果安装在本地用户可以访问的目录中，这构成了一种本地攻击向量。对于单用户的共享目录安装，这些权限会持续存在。 修复: 安装后立即更改权限。写入访问限制为 SYSTEM、管理员和（对于单用户安装）安装用户。这确保所有文件在提取时都继承强化的权限，并且这些权限在安装完成后继续存在。 临时解决方案: 用户可以在安装后手动更改权限以删除 AU 的写入访问权限，并仅授予 %USERNAME% 的写入访问权限。应禁用继承。 相关漏洞: 该漏洞与 CVE-2022-26526 类似，后者通过在所有用户安装完成后更改权限进行缓解。然而，安装过程中的攻击向量仍然存在，并且对于单用户的共享目录安装仍然存在。