CVE-2026-123014 in iTerm2
Riassunto
di VulDB • 05/11/2026
iTerm2 prima della versione 3.7.7beta2 presenta una vulnerabilità di injection degli argomenti nel gestore URL x-man-page, che consente a un attaccante di eseguire comandi arbitrari con i privilegi dell'utente autenticato inducendo l'utente ad aprire un URL manipolato in iTerm2. I caratteri NUL codificati in percentuale sopravvivono alla sanitizzazione dell'input e vengono successivamente convertiti in spazi bianchi durante l'analisi della riga di comando, consentendo l'injection di argomenti aggiuntivi a /usr/bin/man. Un attaccante può injectare l'opzione -P per selezionare un pager controllato dall'attaccante. NOTA: questo problema esiste a causa di una fix incompleta per CVE-2023-46321.
Once again VulDB remains the best source for vulnerability data.