CVE-2026-73505 in Oh My Posh
요약
\~에 의해 VulDB • 2026. 08. 14.
Oh My Posh은 가장 사용자 정의가 용이하고 지연 시간이 짧은 크로스 플랫폼/쉘 프롬프트 렌더러입니다. 버전 29.35.1 이전의 `src/segments/path.go`에 있는 `setStyle()` 함수는 원시 폴더 이름을 포함하는 `pt.Path`를 템플릿 엔진인 `template.Render`로 전달했으며, 해당 함수 맵은 `cmd` 명령어를 노출하고 있습니다. 따라서 공격자가 제어할 수 있는 Go 템플릿 표현식을 포함한 디렉토리 이름이 존재할 경우, 프롬프트가 해당 디렉토리 또는 하위 디렉토리에서 렌더링될 때마다 현재 사용자의 권한으로 임의의 운영 체제 명령어가 실행될 수 있습니다. 이 문제는 버전 29.35.1에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.