CVE-2026-45035
WysokieStreszczenie
Tabby (wcześniej Terminus) to wysoce konfigurowalny emulator terminala, który przed wersją 1.0.233 rejestrował się jako obsługujący schemat URL tabby://. Obsługuje on polecenie uruchomienia, które bez potwierdzenia użytkownika wykonuje polecenia systemowe, co pozwala atakującemu na zdalne wykonanie kodu.
Ocena ryzyka
Podatność ta umożliwia atakującym wykonanie dowolnych poleceń systemowych z pełnymi uprawnieniami użytkownika, co stanowi poważne zagrożenie dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację Tabby do wersji 1.0.233 lub nowszej, aby usunąć tę podatność oraz ograniczenie możliwości otwierania linków z niezaufanych źródeł.
Inne podatności w Tabby (formerly Terminus)
Oryginalny opis (angielski, źródło NVD)
Tabby (formerly Terminus) is a highly configurable terminal emulator. Prior to 1.0.233, Tabby registers itself as the handler for the tabby:// URL scheme on all platforms. The URL scheme handler supports a run command that directly executes OS commands with no user confirmation, sanitization, or sandboxing. An attacker can craft a malicious link (tabby://run?command=...) and deliver it via a website, email, chat message, or any other medium. When a victim clicks the link, the OS launches Tabby which immediately spawns the specified command as a child process with the user's full privileges. This is a zero-click-after-link-visit RCE vulnerability. This vulnerability is fixed in 1.0.233.