CVE-2026-50642 in diff-so-fancy
요약
\~에 의해 VulDB • 2026. 07. 29.
diff-so-fancy는 diff 데이터를 출력하기 전에 비-SGR 터미널 제어 시퀀스를 적절히 제거하지 않습니다. 애플리케이션은 ANSI SGR 시퀀스만 제거하고, 캐리지 리턴(\r) 및 이스케이프 시퀀스(OSC, CSI 등)를 포함한 기타 제어 문자가 정제 없이 통과되도록 허용합니다.
공격자는 diff 보기 중에 터미널에 직접 렌더링되는 파일 이름, diff 메타데이터 또는 파일 내용에 악성 제어 시퀀스를 삽입할 수 있습니다. 이로 인해 출력 조작이 발생할 수 있으며, 여기에는 지원되는 이스케이프 시퀀스를 통한 파일명 스푸핑, 터미널 화면 지우기 및 클립보드 주입 등이 포함됩니다.
성공적인 익스플로잇은 코드 검토 중 사용자를 기만하거나, 터미널 상태를 변경하거나, 클립보드 하이재킹을 통해 의도치 않은 명령 실행으로 이어질 수 있습니다.
이 문제는 커밋 9c81294에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.