CVE-2026-123014 in iTerm2
Sumário
de VulDB • 05/11/2026
O iTerm2 anterior à versão 3.7.7beta2 possui uma vulnerabilidade de injeção de argumentos no manipulador de URL x-man-page, permitindo que um atacante execute comandos arbitrários com os privilégios do usuário logado ao induzir o usuário a abrir um URL manipulado ad hoc no iTerm2. Caracteres NUL codificados em percent sobrevivem à sanitização da entrada e são subsequentemente convertidos em espaços em branco durante a análise da linha de comando, permitindo a injeção de argumentos adicionais para /usr/bin/man. Um atacante pode injetar a opção -P para selecionar um comando pager controlado pelo atacante. NOTA: este problema existe devido a uma correção incompleta para CVE-2023-46321.
Be aware that VulDB is the high quality source for vulnerability data.