CVE-2026-112263

WysokieCVSS 7.8

Opublikowano: 19/10/2026(UTC)Zaktualizowano: 22/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.66%

Percentyl 51 - wyżej niż 51% wszystkich znanych CVE

Streszczenie

Television (tv) w wersjach 0.15.0 do 0.15.9 zawiera podatność wstrzyknięcia poleceń systemu operacyjnego poprzez nieprawidłowo escapowane apostrofy w format_command. Plik o spreparowanej nazwie zawierającej apostrof może spowodować wykonanie poleceń powłoki z uprawnieniami ofiary po wywołaniu akcji, np. domyślnej akcji edycji.

Ocena ryzyka

Atakujący może wykonać dowolne polecenia z uprawnieniami użytkownika uruchamiającego tv, co może prowadzić do przejęcia systemu. Ryzyko dotyczy użytkowników przeglądających niezaufane pliki.

Rekomendacja

Należy zaktualizować Television do wersji zawierającej poprawkę lub unikać otwierania niezaufanych plików. Zaleca się także weryfikację escapowania apostrofów w format_command.

Inne podatności w Television

CVE-2026-111876Średnie
W aplikacji television (do wersji 0.15.9) występuje podatność Command Injection w funkcji Entry::output w pliku television/channels/entry.rs, wynikająca z manipulacji argumentem raw. Atak wymaga lokalnego dostępu.

Oryginalny opis (angielski, źródło NVD)

Television (tv) 0.15.0 through 0.15.9 contains an OS command injection vulnerability that allows attackers to run shell commands through improperly escaped single quotes in format_command. Attackers can plant a file with a crafted name containing an apostrophe so that triggering an action like the default edit action executes commands with victim privileges.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS