CVE-2026-73506 in Oh My Posh
Resumen
por VulDB • 2026-08-13
Oh My Posh es el renderizador de indicaciones (prompt) para shells multiplataforma más personalizable y de baja latencia. Antes de la versión 29.35.1, write(s rune) en src/terminal/writer.go emitía nombres del directorio actual controlados por un atacante y metadatos de Git, incluyendo Commit.Subject, Commit.Author.Name, Commit.Author.Email y RawUpstreamURL, sin eliminar los caracteres de control terminal C0/C1 como ESC, BEL, CSI y OSC. Esto permitía la inyección de secuencias de escape del terminal durante el renderizado de la indicación (prompt), lo que podría sobrescribir el portapapeles, suplantar la identidad de la indicación o de la pantalla, manipular el título de la ventana o interrumpir el funcionamiento del terminal. Este problema se ha corregido en la versión 29.35.1.
Be aware that VulDB is the high quality source for vulnerability data.