CVE-2026-45037

Wysokie

Opublikowano: 15/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Tabby (wcześniej Terminus) to wysoko konfigurowalny emulator terminala. W wersjach przed 1.0.232, linkifier terminala Tabby przekazywał wykryte URI bez walidacji schematu protokołu, co umożliwiało złośliwym serwerom SSH lub Telnet wysyłanie spreparowanego wyjścia terminala z niebezpiecznymi URI.

Ocena ryzyka

Zagrożenie polega na tym, że złośliwe URI mogą uruchomić nieautoryzowane protokoły systemowe na maszynie ofiary, co prowadzi do potencjalnych ataków i kompromitacji systemu.

Rekomendacja

Zaleca się aktualizację Tabby do wersji 1.0.232 lub nowszej, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków bezpieczeństwa w celu monitorowania i ograniczenia dostępu do nieznanych serwerów.

Inne podatności w Tabby terminal emulator

CVE-2026-45036Wysokie
Tabby (wcześniej Terminus) przed wersją 1.0.233 automatycznie potwierdza wykrycie protokołu ZMODEM w wyjściu sesji terminala bez interakcji użytkownika, co umożliwia wykonanie poleceń powłoki, gdy użytkownik wyświetla treści kontrolowane przez atakującego.

Oryginalny opis (angielski, źródło NVD)

Tabby (formerly Terminus) is a highly configurable terminal emulator. Prior to 1.0.232, Tabby's terminal linkifier passes any detected URI directly to the operating system's protocol handler without validating the protocol scheme. This allows a malicious SSH or Telnet server to send crafted terminal output containing dangerous protocol URIs which Tabby renders as clickable links, triggering arbitrary OS protocol handlers on the victim's machine. This vulnerability is fixed in 1.0.232.