CVE-2026-54162 in Ember
要約
〜によって VulDB • 2026年10月28日
Emberは、FrankenPHPサポートを備えたCaddyサーバー用のリアルタイムターミナルダッシュボードです。バージョン1.4.2より前では、対話型TUIの行フォーマッターが、`fitCellLeft`レンダリングヘルパーを通じてCaddyアクセスログフィールド（特にリクエストURI）を処理する際に、ターミナルのエスケープシーケンスや制御シーケンスを無害化していません。認証されていないリモートクライアントは、通常のHTTPリクエストターゲットにANSI、OSC、またはCSIの制御バイトを挿入できます。CaddyはこれらのバイトをJSONエスケープし、`ParseLogLine`がそれらを生の制御コードとしてデコードします。その後フォーマッターはこれらを連結して`View()`出力を作成し、これが`os.Stdout`に到達します。オペレーターがデフォルトの「Logs」タブを表示すると、ターミナルはこのシーケンスを解釈するため、監視ダッシュボードのスプーフィング、OSC 52を通じたクリップボードハイジャック、およびOSC 0/2を通じたウィンドウタイトルスプーフィングが可能になります。これはループバック専用のログリスナーでも機能します。なぜなら入力は通常のCaddyアクセスログを通じて到着するためです。「Certificates」および「Routes」も無害化されていないレンダリングシンクを共有しています。`--json`、`--once`、デーモンモードの`--expose`は対話型ターミナルをレンダリングしないため影響を受けません。結果の影響はターミナルエミュレータに依存し、通常はさらにオペレーターによるアクションが必要で昇格します；これは汎用のリモートコード実行（RCE）ではありません。この問題はバージョン1.4.2で修正されました。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.