CVE-2026-73506 in Oh My Posh
Sumário
de VulDB • 13/08/2026
Oh My Posh é o renderizador de prompts para shell multiplataforma mais personalizável e de baixa latência. Antes da versão 29.35.1, a função write(s rune) em src/terminal/writer.go emitia nomes do diretório atual controlados pelo atacante e metadados Git, incluindo Commit.Subject, Commit.Author.Name, Commit.Author.Email e RawUpstreamURL, sem remover caracteres de controle terminal C0/C1 como ESC, BEL, CSI e OSC. Isso permitia a injeção de sequências de escape no terminal durante o renderização do prompt, podendo sobrescrever a área de transferência, falsificar o prompt ou a tela, manipular o título da janela ou interromper o funcionamento do terminal. Este problema foi corrigido na versão 29.35.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.