CVE-2026-42851
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Kitty to wieloplatformowy terminal oparty na GPU. W wersjach przed 0.47.0, program mogący zapisywać bajty do terminala kitty może spowodować wykonanie dostarczonego przez atakującego kodu Python w działającym procesie kitty z pełnymi uprawnieniami użytkownika.
Ocena ryzyka
Brak jakiejkolwiek interakcji z użytkownikiem oraz brak wymagań dotyczących uprawnień do zdalnego sterowania stwarza poważne ryzyko dla bezpieczeństwa, umożliwiając atakującym wykonanie dowolnego kodu na systemie ofiary.
Rekomendacja
Zaleca się aktualizację do wersji 0.47.0 lub nowszej, aby usunąć tę podatność.
Inne podatności w Kitty terminal
Zobacz wszystkie- CVE-2026-54057Wysokie
Kitty to wieloplatformowy terminal oparty na GPU. W wersjach przed 0.47.3 odpowiedź na zapytanie OSC 21 (kontrola kolorów) odzwierciedla bajty kontrolowane przez atakującego, w tym znaki nowej linii, wprowadzane do wejścia powłoki bez sanitizacji.
- CVE-2026-54056Wysokie
W wersjach 0.47.0 i 0.47.1 terminala Kitty, funkcja `kitten dnd` może pozwolić złośliwemu źródłu drag-and-drop na nadpisanie lub skrócenie dowolnych plików, które mogą być zapisywane przez lokalnego użytkownika kitty. Problem wynika z braku de-duplikacji nazw plików w systemach plików rozróżniających wielkość liter.
- CVE-2026-54055Średnie
W wersjach przed 0.47.2 w terminalu Kitty występuje podatność na eskalację uprawnień lokalnych w protokole transmisji plików. Proces potomny działający w terminalu może zapisywać do dowolnych plików w systemie plików, wykorzystując warunek wyścigu TOCTOU między walidacją symlinków a tworzeniem plików.
- CVE-2026-42850Wysokie
W wersjach przed 0.47.0 terminala Kitty istnieje możliwość wstrzykiwania poleceń do subshella poprzez błąd Kitty. Specjalny kod ucieczki powoduje, że Kitty zwraca błąd, który nie jest odpowiednio zabezpieczony i jest poprawnie wyświetlany w terminalu, co pozwala na jego wykonanie przez używaną powłokę.
Oryginalny opis (angielski, źródło NVD)
Kitty is a cross-platform GPU based terminal. In versions prior to 0.47.0, a program able to write bytes to a kitty terminal — a remote SSH peer, a downloaded file viewed with `cat`, a log line, an email body rendered in `less`, an issue body in a TUI, etc. — can cause kitty to execute attacker-supplied Python inside the running kitty process, with the user's full privileges. There is no approval prompt, no remote-control permission requirement, no shell-integration interaction, no clipboard touch, and no editor interaction. Version 0.47.0 fixes the issue.