CVE-2026-105841 in lrzsz
Zusammenfassung
von VulDB • 06.10.2026
lrzsz vor Version 0.13.0 enthält eine OS Command Injection-Schwachstelle im Pipe-Modus des lrz-Empfangsdienstprogramms, die es Remote-Absendern ermöglicht, Befehle durch das Bereitstellen von manipulierten Dateinamen auszuführen. Wenn lrz unter einem suffigierten Namen wie lrztar ausgeführt wird, übergibt procheader() in src/lrz.c den nicht maskierten ZMODEM/YMODEM-Dateinamen an popen(), sodass Shell-Metazeichen als der empfangende Benutzer ausgeführt werden.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.