CVE-2026-54056

Kitty çoxplatformalı GPU əsaslı terminaldır. 0.47.0 və 0.47.1 versiyalarında `kitten dnd` zərərli uzaq sürüklə-burax mənbəyinə yerli kitty istifadəçisinin yazma icazəsi olan ixtiyari faylları üzərinə yazmağa və ya kəsməyə imkan verir. Uzaq `text/uri-list` buraxmaları müvəqqəti qovluqda yerləşdirilir, lakin hərfə həssas fayl sistemlərində təkrarlanan uzaq baza adları de-duplikasiya olunmur. Hücumçu əvvəlcə yerləşdirilmiş simvolik keçid yarada, sonra eyni adlı adi fayl qeydi göndərə bilər. Adi fayl yazması `utils.CreateAt()` / `openat(O_RDWR|O_CREAT|O_TRUNC)` funksiyasından `O_NOFOLLOW` olmadan istifadə edir, buna görə də hücumçunun yaratdığı simvolik keçidi izləyir və yekun üzərinə yazma təsdiqi işə düşməzdən əvvəl yerləşdirmə qovluğundan kənara yazır. Bu, sinif baxımından fayl ötürmə simvolik keçid xəbərdarlığı ilə əlaqəli görünür, lakin fərqli bir səhvdir: `kitten dnd` uzaq sürüklə-burax yerləşdirməsinə təsir edir, fərqli zəif kod (`kittens/dnd/drop.go` və `tools/utils/file_at_fd.go`) istifadə edir və fayl ötürmə `O_NOFOLLOW` düzəlişindən sonra `4aa4a5c0567a92553a8c20a88a4352da637fca5d` commitində təkrarlanır. 0.47.2 versiyası problemi düzəldir.