CVE-2026-73505
WysokieCVSS 7.8Streszczenie
Oh My Posh przed wersją 29.35.1 zawiera podatność w funkcji setStyle() w src/segments/path.go, która przekazuje pt.Path (zawierający surowe nazwy folderów) do template.Render, którego mapa funkcji udostępnia cmd. Atakujący kontrolujący nazwę katalogu z wyrażeniem szablonu Go może wykonać dowolne polecenia systemu operacyjnego jako bieżący użytkownik, gdy prompt renderuje się w tym katalogu lub podkatalogu.
Ocena ryzyka
Podatność umożliwia wykonanie dowolnego kodu w kontekście użytkownika, co może prowadzić do przejęcia kontroli nad systemem lub kradzieży danych.
Rekomendacja
Zaktualizuj Oh My Posh do wersji 29.35.1 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Oh My Posh is the most customisable and low-latency cross platform/shell prompt renderer. Prior to 29.35.1, the setStyle() function in src/segments/path.go passed pt.Path, which includes raw folder names, to template.Render, whose function map exposes cmd, so an attacker-controlled directory name containing a Go template expression could execute arbitrary operating system commands as the current user whenever the prompt rendered inside that directory or a descendant. This issue is fixed in version 29.35.1.