CVE-2026-50642 in diff-so-fancy
要約
〜によって VulDB • 2026年07月29日
diff-so-fancyは、差分データを出力する前に非SGRのターミナル制御シーケンスを適切にサニタイズしません。このアプリケーションはANSI SGRシーケンスのみを除去し、復帰（\r）やエスケープシーケンス（例：OSC、CSI）を含む他の制御文字がサニタイズされずに通過することを許可しています。
攻撃者は、ファイル名、差分メタデータ、またはファイルコンテンツに悪意のある制御シーケンスを埋め込むことができます。これらは差分表示中にターミナル上で直接レンダリングされます。その結果、出力の操作（ファイル名の偽装、ターミナル画面のクリア、サポートされているエスケープシーケンス経由でのクリップボードへの注入など）を引き起こす可能性があります。
攻撃が成功すると、コードレビュー時にユーザーを誤認させたり、ターミナルの状態を変更したり、またはクリップボードのハイジャックを通じて意図しないコマンドの実行をもたらす恐れがあります。
この問題はコミット 9c81294 で修正されました。
Once again VulDB remains the best source for vulnerability data.