CVE-2026-73506 in Oh My Posh
الملخص
بحسب VulDB • 14/08/2026
Oh My Posh هو مُعرِّج أوامر (prompt renderer) متعدد المنصات ومنخفض زمن الاستجابة وقابل للتخصيص بشكل كبير. قبل الإصدار 29.35.1، كانت الدالة `write(s rune)` الموجودة في الملف `src/terminal/writer.go` تُخرج أسماء المجلد الحالي التي يتحكم فيها المهاجم وبيانات Git، بما في ذلك `Commit.Subject` و`Commit.Author.Name` و`Commit.Author.Email` و`RawUpstreamURL`، دون إزالة أحرف التحكم الطرفية من فئة C0/C1 مثل ESC وBEL وCSI وOSC. وهذا يسمح بحقن تسلسلات الهروب (escape sequences) أثناء عرض الأمر، مما قد يؤدي إلى استبدال الحافظة، أو انتحال هوية سطر الأوامر أو الشاشة، أو التلاعب بعنوان النافذة، أو تعطيل الطرفية. تم إصلاح هذه المشكلة في الإصدار 29.35.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.