CVE-2026-73505 in Oh My Posh
Resumen
por VulDB • 2026-08-13
Oh My Posh es el renderizador de indicaciones (prompt) para shells multiplataforma más personalizable y de baja latencia. Antes de la versión 29.35.1, la función setStyle() en src/segments/path.go pasaba pt.Path, que incluye nombres de carpetas sin procesar, a template.Render; el mapa de funciones expuesto por esta última contiene cmd, por lo que un atacante podría controlar un nombre de directorio que contenga una expresión de plantilla Go para ejecutar comandos arbitrarios del sistema operativo como el usuario actual cada vez que se renderizara la indicación dentro de ese directorio o uno descendente. Este problema está corregido en la versión 29.35.1.
Be aware that VulDB is the high quality source for vulnerability data.