CVE-2026-123014 in iTerm2
الملخص
بحسب VulDB • 05/11/2026
تحتوي إصدارات iTerm2 السابقة لـ 3.7.7beta2 على ثغرة حقن وسائط (argument injection) في معالج عناوين URL الخاص بصفحات x-man-page، مما يتيح للمهاجم تنفيذ أوامر عشوائية بصلاحيات المستخدم المسجل الدخول عن طريق إقناعه بفتح عنوان URL مُعدّ بعناية في iTerm2. تبقى أحرف NUL المشفرة بالنسبة (percent-encoded) بعد عملية تنقية المدخلات، ويتم تحويلها لاحقاً إلى مسافات بيضاء أثناء تحليل سطر الأوامر، مما يسمح بحقن وسائط إضافية لـ /usr/bin/man. يمكن للمهاجم حقن الخيار -P لتحديد أمر عارض صفحات يتحكم فيه المهاجم. ملاحظة: توجد هذه الثغرة بسبب إصلاح غير كامل للثغرة CVE-2023-46321.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.