CVE-2026-49255
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
electerm przed wersją 3.11.11 konstruuje polecenia systemu operacyjnego w src/app/lib/fs.js, interpolując niezaufane ścieżki plików do funkcji rmrf(), mv() i cp(). Złośliwy serwer SSH lub SFTP może dostarczyć nazwę pliku zawierającą znaki cudzysłowu i metaznaki powłoki, co prowadzi do wykonania dowolnych poleceń z uprawnieniami użytkownika desktopowego. Problem naprawiono w wersji 3.11.11.
Ocena ryzyka
Atak może prowadzić do przejęcia kontroli nad stacją roboczą użytkownika, kradzieży danych, modyfikacji plików, instalacji złośliwego oprogramowania lub odmowy usługi.
Rekomendacja
Zaleca się aktualizację electerm do wersji 3.11.11 lub nowszej.
Inne podatności w electerm
Zobacz wszystkie- CVE-2026-43943Wysokie
W electerm, przed wersją 3.7.9, występuje podatność na zdalne wykonanie kodu (RCE) w funkcji edytowania plików SFTP. Nazwa pliku jest przekazywana bez sanitizacji do linii poleceń, co umożliwia atakującemu wykonanie złośliwego kodu na maszynie użytkownika.
- CVE-2026-43940Wysokie
W wersjach przed 3.7.16 klienta electerm, funkcja runWidget w pliku load-widget.js tworzy ścieżkę do pliku, łącząc identyfikatory widgetów dostarczone przez użytkownika bez jakiejkolwiek sanitizacji. To umożliwia atakującemu wykonanie dowolnego pliku JavaScript na systemie ofiary.
- CVE-2026-43944Krytyczne
Electerm, klient terminala/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp, jest podatny na wykonanie dowolnego kodu lokalnego w wersjach od 3.0.6 do przed 3.8.15. Wykorzystanie podatności wymaga kliknięcia w spreparowany link electerm://... lub otwarcia spreparowanego skrótu/komendy.
- CVE-2026-43941Krytyczne
Electerm to klient terminala, który w wersjach 3.8.15 i wcześniejszych nie weryfikuje protokołów URL klikanych w terminalu. Atakujący mogą wykorzystać to do wykonania dowolnego kodu lub uzyskania dostępu do lokalnych plików na maszynie ofiary, jeśli ta kliknie w wyświetlony link.
- CVE-2026-41501Krytyczne
W kliencie electerm przed wersją 3.3.8 występuje podatność na wstrzykiwanie poleceń, która pozwala atakującemu na dodanie złośliwych ciągów wersji do polecenia exec bez walidacji. Problem ten został naprawiony w wersji 3.3.8.
- CVE-2026-41500Krytyczne
W kliencie electerm przed wersją 3.3.8 występuje podatność na wstrzykiwanie poleceń, która pozwala atakującemu na wprowadzenie złośliwego kodu do polecenia exec. Problem ten został naprawiony w wersji 3.3.8.
- CVE-2026-86711Wysokie
electerm przed wersją 5.3.15 udostępnia ponad 40 funkcji procesu głównego przez niewalidowany handler IPC Electrona, bez listy dozwolonych nazw funkcji ani walidacji nadawcy. Wykonanie skryptu po stronie renderera może wywołać openFileWithEditor i inne funkcje z dowolnymi argumentami, aby wykonać polecenia systemowe w procesie głównym.
- CVE-2026-49253Wysokie
electerm przed wersją 3.11.11 używa nazw plików dostarczanych przez zdalny serwer bezpośrednio z path.join() podczas odbierania transferów Zmodem i Trzsz. Złośliwy serwer SSH może dostarczyć nazwę pliku zawierającą komponenty ścieżki (np. ../), co pozwala na zapis plików poza wybranym katalogiem docelowym i nadpisanie plików dostępnych dla użytkownika. Problem naprawiono w wersji 3.11.11.
- CVE-2026-73227Wysokie
electerm to klient terminala/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp o otwartym kodzie źródłowym. Przed wersją 3.15.120 electerm pozwala złośliwemu serwerowi RDP na zapisywanie treści kontrolowanych przez atakującego poza wybranym katalogiem zapisu, ponieważ ścieżka pobierania schowka RDP w src/client/components/rdp/file-transfer.js przekazuje kontrolowaną przez serwer nazwę pliku CLIPRDR fileInfo.name do osResolve bez sanityzacji. Problem został naprawiony w wersji 3.15.120.
- CVE-2026-73226Wysokie
electerm to klient terminala/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp o otwartym kodzie źródłowym. Przed wersją 3.15.186 electerm pozwala uwierzytelnionemu klientowi WebSocket na wywoływanie niezamierzonych funkcji wewnętrznych poprzez kontrolowane przez klienta wartości func w upgrade-func w src/app/server/dispatch-center.js i handleFs w src/app/server/fs.js, ujawniając metody Upgrade i fsExport, które mogą wykonywać polecenia, otwierać pliki, modyfikować system plików lub kończyć proces. Problem został naprawiony w wersji 3.15.186.
Oryginalny opis (angielski, źródło NVD)
electerm is an open-sourced terminal/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp client. Prior to 3.11.11, electerm constructs operating system commands in src/app/lib/fs.js by interpolating untrusted file paths into the rmrf(), mv(), and cp() functions. A malicious SSH or SFTP server can provide a filename containing quote characters and shell metacharacters, and a victim can cause that filename to reach the affected operation during remote-to-local transfer, conflict renaming, copying, moving, or removal. The generated `rm -rf`, mv, `cp -r`, PowerShell Remove-Item, Move-Item, or Copy-Item command can then interpret the filename as shell syntax. This allows arbitrary command execution with the electerm desktop user's privileges on POSIX and Windows systems, enabling data exfiltration, file modification, malware installation, or denial of service. This issue is fixed in version 3.11.11.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS