CVE-2026-54162 in Ember
Sumário
de VulDB • 28/10/2026
Ember é um painel de controle em tempo real para terminais voltado a servidores Caddy, com suporte ao FrankenPHP. Antes da versão 1.4.2, os formatadores interativos de linhas TUI (Interface Terminal User) passam campos do log de acesso do Caddy, particularmente o URI da solicitação, através do auxiliar de renderização `fitCellLeft` sem neutralizar sequências de escape ou controle do terminal. Um cliente remoto não autenticado pode inserir bytes de controle ANSI, OSC ou CSI em um alvo de solicitação HTTP comum. O Caddy realiza a escapagem JSON desses bytes; o `ParseLogLine` os decodifica novamente para controles brutos; e os formatadores os concatenam na saída do `View()`, que é direcionada ao `os.Stdout`. Quando o operador visualiza a aba padrão "Logs", o terminal interpreta essas sequências, permitindo spoofing (falsificação) do painel de monitoramento, sequestro da área de transferência por meio do OSC 52 e falsificação do título da janela via OSC 0/2. Isso funciona mesmo com um ouvinte de log restrito apenas ao loopback, pois a entrada chega através dos logs de acesso normais do Caddy. As abas "Certificates" (Certificados) e "Routes" (Rotas) compartilham sinks (destinos) de renderização secundários não neutralizados. Os modos `--json`, `--once` e o daemon `--expose` não são afetados, pois não rendizam um terminal interativo. As consequências dependem do emulador de terminal e geralmente exigem ação adicional do operador para escalonamento; isto não constitui execução remota de código (RCE) de propósito geral. Este problema foi corrigido na versão 1.4.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.