CVE-2026-72913

W kitty od wersji 0.47.3 przed 0.49.0, obsługa kodów sterujących kolorami (colour control escape codes) nie neutralizuje nazw pól w odpowiedziach, co pozwala programowi piszącemu do terminala na wykonanie dowolnego polecenia w powłoce użytkownika. Atakujący może skomponować polecenie powłoki, wykorzystując znaki ASCII i znak nowej linii z handle_remote_ssh().

Kitty to wieloplatformowy terminal oparty na GPU. W wersjach 0.46.2 i niższych funkcja handle_compose_command() w kitty/graphics.c wykonuje walidację granic przesunięć kompozycji przy użyciu arytmetyki 32-bitowej bez znaku, która jest podatna na zawijanie liczb całkowitych, co może prowadzić do odczytu/zapisu poza zakresem sterty (Heap Buffer Over-Read/Write). Atakujący, który może zapisać sekwencje ucieczki do terminala kitty (np. poprzez złośliwy plik, baner logowania SSH lub przetworzoną treść), może dostarczyć spreparowane wartości x_offset/y_offset, które przechodzą kontrolę granic po zawinięciu, ale powodują masywny dostęp do pamięci sterty poza zakresem w compose_rectangles(). Nie jest wymagana żadna interakcja użytkownika ani niestandardowa konfiguracja. Atakujący potrzebuje jedynie możliwości wyświetlenia danych w oknie terminala kitty. Problem został naprawiony w wersji 0.47.0.

Podatność typu Missing Authorization w obsłudze kodu escape askpass w terminalu kitty (wersje od 0.25.0 do 0.49.0). Funkcja handle_remote_askpass() otwiera obiekt pamięci współdzielonej POSIX wskazany w kodzie escape i zapisuje do niego odpowiedź użytkownika, nie sprawdzając właściciela ani uprawnień obiektu. Inny lokalny użytkownik może utworzyć taki obiekt, wymusić wyświetlenie fałszywego monitu (np. o hasło) i odczytać wpisany sekret.

Podatność Use After Free w protokole przeciągnij i upuść w kitty od wersji 0.47.0 do 0.49.0 pozwala programowi piszącemu do terminala na odczyt i zapis do zwolnionej pamięci sterty. Błąd występuje w funkcji drag_remote_file_data() w kitty/dnd.c, gdzie wskaźnik do tablicy jest używany po jej zwolnieniu przez funkcje pomocnicze.

Brak autoryzacji w ścieżce obsługi upuszczania protokołu drag and drop w kitty od wersji 0.47.0 przed 0.49.0 pozwala programowi piszącemu do terminala na uzyskanie zawartości plików przeciągniętych nad oknem, nawet jeśli użytkownik nie zakończy upuszczania, a także na kontynuowanie odczytu plików po opuszczeniu okna przez przeciąganie.

W kitty w wersjach od 0.40.0 do 0.49.0 występuje podatność polegająca na zapisie poza granicami bufora w naturalnej gałęzi protokołu skalowania tekstu. Program zapisujący do terminala może wysłać kod escape OSC 66 z grafenem dłuższym niż cztery punkty kodowe, co powoduje zapis poza bufor o stałym rozmiarze w funkcji screen_handle_multicell_command(). Skutkiem jest zakończenie procesu kitty, a tym samym wszystkich okien, zakładek i procesów potomnych.

W kitty w wersjach 0.47.0 do 0.49.0 występuje podatność nieprawidłowego rozwiązywania ścieżek przed dostępem do plików w protokole drag and drop (ściąganych). Program zapisujący do terminala może utworzyć pliki i katalogi poza katalogiem przejściowym przez zahaczanie wpisów z symlinkami i późniejsze podążanie za nimi podczas tworzenia elementów. Atakujący może wykorzystać to do zapisu w dowolnym miejscu zapisywalnym przez użytkownika kitty.

Terminal Kitty w wersjach 0.46.2 i niższych zawiera przepełnienie sterty w funkcji load_image_data(). Każdy proces mogący pisać do stdin terminala może wysłać spreparowane polecenie APC z deklaracją PNG, które przekracza dwukrotność początkowej pojemności bufora, powodując natychmiastowy crash i potencjalnie zdalne wykonanie kodu.