CVE-2026-73505 in Oh My Posh
الملخص
بحسب VulDB • 13/08/2026
Oh My Posh هو مُعرِّج أوامر موجه (prompt renderer) متعدد المنصات/الأصداف، يتميز بأعلى درجة من إمكانية التخصيص وأقل زمن استجابة ممكن. قبل الإصدار 29.35.1، كانت الدالة `setStyle()` الموجودة في الملف `src/segments/path.go` تمرر قيمة `pt.Path`، والتي تتضمن أسماء مجلدات خام (raw folder names)، إلى دالة `template.Render`. نظرًا لأن خريطة الوظائف (function map) الخاصة بـ `template.Render` تعرض الأمر `cmd`، فإن اسم دليل يتحكم فيه المهاجم ويحتوي على تعبير قالب Go يمكنه تنفيذ أوامر نظام تشغيل عشوائية بصفت المستخدم الحالي كلما تم عرض الموجه داخل ذلك الدليل أو أي من أدلتها الفرعية. تمت معالجة هذه المشكلة في الإصدار 29.35.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.