CVE-2026-49255 in Electerm
Сводка
по VulDB • 20.08.2026
electerm — это клиент с открытым исходным кодом для терминала/SSH/SFTP/Telnet/serialport/RDP/VNC/Spice/ftp. До версии 3.11.11 electerm формирует команды операционной системы в файле src/app/lib/fs.js, интерполируя недоверенные пути к файлам в функции rmrf(), mv() и cp(). Злонамеренный SSH или SFTP-сервер может предоставить имя файла, содержащее символы кавычек и метасимволы оболочки, а жертва может привести к тому, что это имя файла попадет под действие соответствующей операции при передаче от удаленного узла к локальному, переименовании с конфликтом, копировании, перемещении или удалении. Сгенерированная команда `rm -rf`, mv, `cp -r`, PowerShell Remove-Item, Move-Item или Copy-Item может затем интерпретировать имя файла как синтаксис оболочки. Это позволяет выполнять произвольные команды с привилегиями пользователя рабочего стола electerm в системах POSIX и Windows, что обеспечивает эксфильтрацию данных, модификацию файлов, установку вредоносного ПО или отказ в обслуживании (DoS). Эта проблема исправлена в версии 3.11.11.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.