CVE-2026-34157

Wails v2 の BindingsAllowedOrigins におけるオリジン制限バイパス脆弱性。修正前のワイルドカード変換は、許可パターン内の * を無条件に正規表現の .* へ置換していた。そのため、アプリケーションが https://myapp.com* のような末尾・部分ラベルワイルドカードを設定すると、https://myapp.community や https://myapp.com.attacker.com などの攻撃者オリジンも許可され、公開された Go バインディングを呼び出される可能性がある。影響はアプリケーションが公開するバインディングに依存し、ファイル操作、データ取得、コマンド実行などにつながり得る。Wails 2.13.0 では、ワイルドカードを完全なオリジン要素に限定する検証へ修正された。