CVE-2026-110102

WysokieCVSS 7.5

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.12%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Powerlevel10k w wersji do 1.20.0 zawiera podatność niezabezpieczonego pobierania w skrypcie gitstatus/install, który wyłącza weryfikację certyfikatu TLS za pomocą curl -k i pomija kontrole integralności, gdy nie ma narzędzia SHA-256. Atakujący z pozycji sieciowej mogą przechwycić żądanie do lustra github.com i podstawić złośliwe archiwum, które jest uruchamiane jako demon gitstatusd na koncie użytkownika przy każdym wierszu poleceń.

Ocena ryzyka

Atakujący może wykonać dowolny kod w kontekście użytkownika, co prowadzi do pełnego przejęcia konta i potencjalnie całego systemu.

Rekomendacja

Należy zaktualizować Powerlevel10k do wersji nowszej niż 1.20.0, jeśli jest dostępna, lub ręcznie zweryfikować integralność pobieranego archiwum. Zaleca się również unikanie używania skryptu instalacyjnego w niezaufanych sieciach.

Inne podatności w Powerlevel10k

CVE-2026-75483Niskie
powerlevel10k nie neutralizuje znaków kontrolnych w polu wersji package.json podczas renderowania segmentu wiersza poleceń. Atakujący mogą wstrzyknąć surowe bajty escape w ciąg wersji, aby emitować dowolne sekwencje sterujące terminala przy każdym renderowaniu wiersza, gdy powłoka wejdzie do dotkniętych katalogów.

Oryginalny opis (angielski, źródło NVD)

Powerlevel10k through 1.20.0 contains an insecure download vulnerability in the gitstatus/install script that disables TLS certificate verification with curl -k and skips integrity checks when no SHA-256 utility exists. Network-positioned attackers can intercept the github.com mirror request and substitute a malicious archive, which runs as the gitstatusd daemon under the user's account on every prompt.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS