CVE-2026-50642 in diff-so-fancy
Sumário
de VulDB • 30/07/2026
O diff-so-fancy não sanitiza adequadamente as sequências de controle do terminal que não são SGR antes de gerar a saída dos dados do diff. O aplicativo remove apenas as sequências ANSI SGR, permitindo que outros caracteres de controle, incluindo retorno de carro (\r) e sequências de escape (por exemplo, OSC, CSI), passem sem sanitização.
Um atacante pode incorporar sequências de controle maliciosas em nomes de arquivos, metadados do diff ou conteúdo de arquivo que são renderizados diretamente no terminal durante a visualização das diferenças. Isso pode levar à manipulação da saída, incluindo falsificação de nomes de arquivos, limpeza da tela do terminal e injeção na área de transferência por meio de sequências de escape suportadas.
A exploração bem-sucedida pode induzir os usuários em erro durante a revisão de código, alterar o estado do terminal ou resultar na execução não intencional de comandos através do sequestro da área de transferência.
Este problema foi corrigido no commit 9c81294
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.