CVE-2026-49255

electerm açıq mənbəli terminal/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp kliyentidir. 3.11.11 versiyasından əvvəl electerm, src/app/lib/fs.js faylında etibarsız fayl yollarını rmrf(), mv() və cp() funksiyalarına daxil edərək əməliyyat sistemi əmrləri formalaşdırır. Zərərli SSH və ya SFTP serveri dırnaq işarələri və shell meta-simvolları ehtiva edən fayl adı təqdim edə bilər və qurban uzaqdan yerli sistemə köçürmə, adlandırma münaqişəsi, kopyalama, daşıma və ya silmə zamanı həmin fayl adının təsirə məruz qalan əməliyyata çatmasına səbəb ola bilər. Yaradılan `rm -rf`, mv, `cp -r`, PowerShell Remove-Item, Move-Item və ya Copy-Item əmri daha sonra fayl adını shell sintaksisi kimi şərh edə bilər. Bu, POSIX və Windows sistemlərində electerm masaüstü istifadəçisinin imtiyazları ilə ixtiyari əmrin icrasına imkan verir ki, bu da məlumatların sızdırılmasına, faylların dəyişdirilməsinə, zərərli proqramların quraşdırılmasına və ya xidmətdən imtinaya yol açır. Bu problem 3.11.11 versiyasında düzəldilmişdir.