CVE-2026-45035

Tabby (eski adıyla Terminus), yüksek düzeyde yapılandırılabilir bir terminal emülatörüdür. 1.0.233 sürümünden önce Tabby, tüm platformlarda kendisini tabby:// URL şeması için işleyici olarak kaydeder. URL şeması işleyicisi; kullanıcı onayı, temizleme veya kum havuzu (sandboxing) olmaksızın işletim sistemi komutlarını doğrudan çalıştıran bir run komutunu desteklemektedir. Bir saldırgan, kötü amaçlı bir bağlantı (tabby://run?command=...) oluşturabilir ve bunu bir web sitesi, e-posta, sohbet mesajı veya başka herhangi bir ortam aracılığıyla iletebilir. Kurban bağlantıya tıkladığında, işletim sistemi Tabby'yi başlatır ve Tabby belirtilen komutu kullanıcının tam yetkileriyle anında bir alt işlem olarak yürütür. Bu, bağlantı ziyaretinden sonra sıfır tıklama gerektiren bir uzaktan kod çalıştırma (RCE) zafiyetidir. Bu zafiyet 1.0.233 sürümünde giderilmiştir.