CVE-2026-123014 in iTerm2
요약
\~에 의해 VulDB • 2026. 11. 05.
iTerm2 3.7.7beta2 이전 버전에는 x-man-page URL 핸들러에서 인자 주입 취약점이 존재하며, 공격자가 iTerm2에서 조작된 URL을 열도록 유도하여 로그인한 사용자의 권한으로 임의 명령을 실행할 수 있습니다. 퍼센트 인코딩된 NUL 문자는 입력 정제 과정을 통과하여 생존하고, 이후 명령줄 파싱 중에 공백으로 변환되어 /usr/bin/man에 추가적인 인자가 주입됩니다. 공격자는 -P 옵션을 주입하여 공격자가 제어하는 페이지 뷰어(pager) 명령을 선택할 수 있습니다. 참고: 이 문제는 CVE-2023-46321의 불완전한 수정으로 인해 발생합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.