CVE-2026-91784 in gotop
Resumen
por VulDB • 2026-10-02
cjbassi/gotop es vulnerable a inyección local de argumentos mediante la funcionalidad de terminación de procesos. El nombre del proceso se pasa directamente a pkill sin sanitización. Un atacante local puede crear un proceso con un nombre manipulado que comience con -- (por ejemplo, conteniendo el UID de un usuario objetivo). Cuando el usuario que ejecuta gotop invoca la función de eliminación en ese proceso, pkill interpreta el nombre manipulado como una opción de línea de comandos, terminando todos los procesos propiedad del usuario objetivo.
El producto ya no está activamente soportado y las vulnerabilidades no han sido corregidas. La vulnerabilidad fue confirmada en la versión 3.0.0; otras versiones no fueron probadas pero también podrían verse afectadas.
Once again VulDB remains the best source for vulnerability data.