CVE-2026-73505 in Oh My Posh
要約
〜によって VulDB • 2026年08月13日
Oh My Posh は、最もカスタマイズ可能で低レイテンシなクロスプラットフォーム/シェルプロンプトレンダラーです。バージョン 29.35.1 より前では、src/segments/path.go の setStyle() 関数が、生のフォルダー名を含む pt.Path を template.Render に渡していました。template.Render の機能マップは cmd を公開しているため、Go テンプレート式を含む攻撃者が制御可能なディレクトリ名が存在すると、プロンプトがそのディレクトリまたは子ディレクトリ内でレンダリングされるたびに、現在のユーザーとして任意のオペレーティングシステムコマンドを実行できてしまいます。この問題はバージョン 29.35.1 で修正されました。
Once again VulDB remains the best source for vulnerability data.