CVE-2026-49864
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
wetty przed wersją 3.0.4 dekoduje nazwę pliku base64 z sekwencji ucieczki pobierania pliku i interpoluje ją do ciągu HTML Toastify bez escapowania. Dowolne dane wyjściowe renderowane przez ofiarę (np. cat, tail, MOTD SSH, curl) zawierające sekwencję \x1b[5i...:...\x1b[4i mogą uruchomić skrypt w kontekście wetty i wpisać klawisze wybrane przez atakującego do sesji SSH ofiary.
Ocena ryzyka
Ryzyko obejmuje wykonanie skryptu w kontekście wetty oraz możliwość przejęcia sesji SSH ofiary, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację wetty do wersji 3.0.4 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
wetty provides terminal access in browser over http/https. Prior to version 3.0.4, the wetty client decodes a base64 filename from the file-download escape sequence and interpolates it raw into a Toastify HTML string (`escapeMarkup: false`). Any output the victim renders - a `cat`'d file, a tailed log, an SSH MOTD, a `curl` response - that contains `\x1b[5i...:...\x1b[4i` runs script in the wetty origin and types attacker-chosen keystrokes into the victim's SSH session. Version 3.0.4 fixes the issue.