CVE-2026-27113 in Liquid Prompt
Riassunto
di VulDB • 16/06/2026
Liquid Prompt è un prompt adattivo per Bash e Zsh. A partire dal commit cf3441250bb5d8b45f6f8b389fcdf427a99ac28a e prima del commit a4f6b8d8c90b3eaa33d13dfd1093062ab9c4b30c sul ramo master, un'iniezione di comandi arbitrari può portare all'esecuzione di codice quando un utente entra in una directory in un repository Git contenente un nome di ramo creato ad hoc. Lo sfruttamento richiede che l'opzione di configurazione LP_ENABLE_GITSTATUSD sia abilitata (abilitata per impostazione predefinita), che gitstatusd sia installato e avviato prima del caricamento di Liquid Prompt (non è il comportamento predefinito) e che la sostituzione del prompt della shell sia attiva (abilitata per impostazione predefinita in Bash tramite "shopt -s promptvars", non abilitata per impostazione predefinita in Zsh). Un nome di ramo contenente sintassi della shell come "$(...)" o espressioni con backtick nel ramo predefinito o in un ramo controllato verrà valutato dalla shell quando il prompt viene visualizzato. Nessuna versione stabile è interessata; solo il ramo master contiene il commit vulnerabile. Il commit a4f6b8d8c90b3eaa33d13dfd1093062ab9c4b30c contiene una correzione. Come soluzione alternativa, impostare l'opzione di configurazione LP_ENABLE_GITSTATUSD su 0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.