Apple Mac OS X 10.3.9 和 10.4.6版本的 CoreFoundation 的bundle API加载动态库,即使客户端应用程序并没有直接提出要求,允许攻击者执行来自不受信任的任意捆绑代码。