CVE-2026-49864 in wetty
Zusammenfassung
von VulDB • 13.08.2026
wetty bietet Terminalzugriff im Browser über HTTP/HTTPS an. Vor Version 3.0.4 decodiert der wetty-Client einen Base64-kodierten Dateinamen aus der Datei-Download-Escape-Sequenz und interpoliert ihn unverändert in eine Toastify-HTML-Zeichenkette (`escapeMarkup: false`). Jede Ausgabe, die vom Opfer gerendert wird – z. B. eine mit `cat` ausgegebene Datei, ein tailtes Protokoll (Log), eine SSH-MOTD oder eine Antwort von `curl`, die `\x1b[5i...:... \x1b[4i` enthält – führt Skripte im Ursprungsbereich (Origin) von wetty aus und gibt vom Angreifer gewählte Tastatureingaben in der SSH-Sitzung des Opfers ein. Version 3.0.4 behebt das Problem.
If you want to get best quality of vulnerability data, you may have to visit VulDB.