CVE-2026-72847

broot, etkileşimli ağaç görünümünde her dosya ve dizin adını dosya sisteminden okunduğu şekliyle birebir işler. Adlar, src/tree_build/builder.rs içinde ve src/tree/tree_line.rs içindeki TreeLine::unprune içinde düz bir to_string_lossy() çağrısıyla dönüştürülür ve TreeLine name alanındaki doc yorumunda bazı karakterlerin çıkarılmış olabileceği belirtilmesine rağmen kodun hiçbir yerinde kontrol karakteri filtrelemesi bulunmaz. Bu nedenle dosya oluşturabilen herhangi bir yerel kullanıcı, dosya adına bir kaçış dizisi yerleştirebilir ve bu dizi, o dizine göz atan herkesin terminaline broot'un kendi stil kodlarının arasında değiştirilmeden yazılır. Bildirilen bir kavram kanıtı, bir OSC 52 pano-yazma dizisi kullanmış ve broot'un pty'sine yazdığı ham baytları yakalayarak dizinin terminale filtrelenmeden ulaştığını doğrulamıştır. Enjekte edilen bir OSC veya CSI dizisinin ardından neler yapabileceği, kullanılan terminal emülatörüne bağlıdır. Bir dizine göz atmak broot'un temel işlevidir ve içeriğin güvenilir olduğuna dair bir beklenti taşımaz.