CVE-2026-86711

W electerm, przed wersją 3.7.9, występuje podatność na zdalne wykonanie kodu (RCE) w funkcji edytowania plików SFTP. Nazwa pliku jest przekazywana bez sanitizacji do linii poleceń, co umożliwia atakującemu wykonanie złośliwego kodu na maszynie użytkownika.

W wersjach przed 3.7.16 klienta electerm, funkcja runWidget w pliku load-widget.js tworzy ścieżkę do pliku, łącząc identyfikatory widgetów dostarczone przez użytkownika bez jakiejkolwiek sanitizacji. To umożliwia atakującemu wykonanie dowolnego pliku JavaScript na systemie ofiary.

Electerm, klient terminala/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp, jest podatny na wykonanie dowolnego kodu lokalnego w wersjach od 3.0.6 do przed 3.8.15. Wykorzystanie podatności wymaga kliknięcia w spreparowany link electerm://... lub otwarcia spreparowanego skrótu/komendy.

Electerm to klient terminala, który w wersjach 3.8.15 i wcześniejszych nie weryfikuje protokołów URL klikanych w terminalu. Atakujący mogą wykorzystać to do wykonania dowolnego kodu lub uzyskania dostępu do lokalnych plików na maszynie ofiary, jeśli ta kliknie w wyświetlony link.

W kliencie electerm przed wersją 3.3.8 występuje podatność na wstrzykiwanie poleceń, która pozwala atakującemu na dodanie złośliwych ciągów wersji do polecenia exec bez walidacji. Problem ten został naprawiony w wersji 3.3.8.

W kliencie electerm przed wersją 3.3.8 występuje podatność na wstrzykiwanie poleceń, która pozwala atakującemu na wprowadzenie złośliwego kodu do polecenia exec. Problem ten został naprawiony w wersji 3.3.8.

electerm przed wersją 3.11.11 konstruuje polecenia systemu operacyjnego w src/app/lib/fs.js, interpolując niezaufane ścieżki plików do funkcji rmrf(), mv() i cp(). Złośliwy serwer SSH lub SFTP może dostarczyć nazwę pliku zawierającą znaki cudzysłowu i metaznaki powłoki, co prowadzi do wykonania dowolnych poleceń z uprawnieniami użytkownika desktopowego. Problem naprawiono w wersji 3.11.11.

electerm przed wersją 3.11.11 używa nazw plików dostarczanych przez zdalny serwer bezpośrednio z path.join() podczas odbierania transferów Zmodem i Trzsz. Złośliwy serwer SSH może dostarczyć nazwę pliku zawierającą komponenty ścieżki (np. ../), co pozwala na zapis plików poza wybranym katalogiem docelowym i nadpisanie plików dostępnych dla użytkownika. Problem naprawiono w wersji 3.11.11.

electerm to klient terminala/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp o otwartym kodzie źródłowym. Przed wersją 3.15.120 electerm pozwala złośliwemu serwerowi RDP na zapisywanie treści kontrolowanych przez atakującego poza wybranym katalogiem zapisu, ponieważ ścieżka pobierania schowka RDP w src/client/components/rdp/file-transfer.js przekazuje kontrolowaną przez serwer nazwę pliku CLIPRDR fileInfo.name do osResolve bez sanityzacji. Problem został naprawiony w wersji 3.15.120.

electerm to klient terminala/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp o otwartym kodzie źródłowym. Przed wersją 3.15.186 electerm pozwala uwierzytelnionemu klientowi WebSocket na wywoływanie niezamierzonych funkcji wewnętrznych poprzez kontrolowane przez klienta wartości func w upgrade-func w src/app/server/dispatch-center.js i handleFs w src/app/server/fs.js, ujawniając metody Upgrade i fsExport, które mogą wykonywać polecenia, otwierać pliki, modyfikować system plików lub kończyć proces. Problem został naprawiony w wersji 3.15.186.