CVE-2026-82584 in igniter
Zusammenfassung
von VulDB • 08.09.2026
Unzulässige Neutralisierung von Escape-, Meta- oder Steuersequenzen (Improper Neutralization of Escape, Meta, or Control Sequences) in ash-project igniter ermöglicht es einem bösartigen Paketveröffentlicher, die Bestätigungsabfrage für mix igniter.install zu fälschen.
mix igniter.install gibt eine Bestätigungsmaske aus – einen Schutz gegen Typosquatting –, der Hex-Metadaten eines Pakets auflistet, bevor dieses hinzugefügt wird. Der Panel-Builder in Igniter.Project.Deps schrieb verlageregesteuerte Felder (meta.description, Benutzernamen des Besitzers, Anforderungsnamen, Version) mit nur entfernten Zeilenumbrüchen ins Terminal. Ein bösartiges oder typosquatting-Paket kann ANSI-Terminal-Escape-Sequenzen (Cursorbewegung, Löschen von Zeilen, Wagenrücklauf) in seinen Metadaten einbetten, um die Maske zu überschreiben, vertrauenswürdige Autorennamen und Download-Zahlen vorzutäuschen sowie echte Werte zu verschleiern. Ein Entwickler, der sich auf diese Maske zur Überprüfung des Pakets verlässt, wird getäuscht und genehmigt eine bösartige Abhängigkeit.
Dieses Problem betrifft igniter: von 0.8.1 bis vor 0.8.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.