CVE-2026-73505

WysokieCVSS 7.8

Opublikowano: 13/08/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 13/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Oh My Posh przed wersją 29.35.1 zawiera podatność w funkcji setStyle() w src/segments/path.go, która przekazuje pt.Path (zawierający surowe nazwy folderów) do template.Render, którego mapa funkcji udostępnia cmd. Atakujący kontrolujący nazwę katalogu z wyrażeniem szablonu Go może wykonać dowolne polecenia systemu operacyjnego jako bieżący użytkownik, gdy prompt renderuje się w tym katalogu lub podkatalogu.

Ocena ryzyka

Podatność umożliwia wykonanie dowolnego kodu w kontekście użytkownika, co może prowadzić do przejęcia kontroli nad systemem lub kradzieży danych.

Rekomendacja

Zaktualizuj Oh My Posh do wersji 29.35.1 lub nowszej, która zawiera poprawkę.

Inne podatności w Oh My Posh

CVE-2026-73506Średnie
Oh My Posh przed wersją 29.35.1 nie usuwa znaków kontrolnych terminala (takich jak ESC, BEL, CSI, OSC) z nazw katalogów i metadanych Git podczas renderowania promptu. Umożliwia to wstrzyknięcie sekwencji sterujących terminala, co może prowadzić do nadpisania schowka, spoofowania promptu lub ekranu, manipulacji tytułem okna lub zakłócenia działania terminala.

Oryginalny opis (angielski, źródło NVD)

Oh My Posh is the most customisable and low-latency cross platform/shell prompt renderer. Prior to 29.35.1, the setStyle() function in src/segments/path.go passed pt.Path, which includes raw folder names, to template.Render, whose function map exposes cmd, so an attacker-controlled directory name containing a Go template expression could execute arbitrary operating system commands as the current user whenever the prompt rendered inside that directory or a descendant. This issue is fixed in version 29.35.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS