CVE-2026-73506 in Oh My Posh
Tóm tắt
Bởi VulDB • 13/08/2026
Oh My Posh là công cụ hiển thị dấu nhắc (prompt) đa nền tảng/tương thích với nhiều shell, có khả năng tùy chỉnh cao và độ trễ thấp. Trước phiên bản 29.35.1, hàm write(s rune) trong src/terminal/writer.go đã xuất ra các tên thư mục hiện tại do kẻ tấn công kiểm soát cùng với siêu dữ liệu Git (bao gồm Commit.Subject, Commit.Author.Name, Commit.Author.Email và RawUpstreamURL), mà không loại bỏ các ký tự điều khiển terminal C0/C1 như ESC, BEL, CSI và OSC. Điều này cho phép tiêm chuỗi thoát terminal trong quá trình hiển thị dấu nhắc, có thể ghi đè clipboard, giả mạo dấu nhắc hoặc màn hình, thao túng tiêu đề cửa sổ hoặc gây gián đoạn hoạt động của terminal. Vấn đề này đã được khắc phục trong phiên bản 29.35.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.