CVE-2026-73505
Yüksek
Açıklama
Oh My Posh, en özelleştirilebilir ve düşük gecikmeli çapraz platform/kabuk istem oluşturucusudur. 29.35.1 sürümünden önce, src/segments/path.go içindeki setStyle() işlevi, ham klasör adlarını içeren pt.Path değerini template.Render'a aktarıyordu; bu işlevin işlev haritası cmd'yi açığa çıkardığından, Go şablon ifadesi içeren saldırgan kontrollü bir dizin adı, istem o dizin veya alt dizini içinde oluşturulduğunda geçerli kullanıcı olarak rastgele işletim sistemi komutlarını çalıştırabiliyordu. Bu sorun 29.35.1 sürümünde düzeltilmiştir.
ÖnemYüksek
CVSS7.8
İstismar olasılığı12. yüzdelik%0,2
ÜrünGithub.com/jandedobbeleer/oh-my-posh
Yayın13 Ağu 2026
İlk görülme13 Ağu 2026
Zayıflık türüCWE-94Kod enjeksiyonuCWE-1336CWE-1336
Nasıl düzeltilir
Güncelleyin
- github.com/jandedobbeleer/oh-my-posh29.35.1, 29.35.1+incompatible ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/jandedobbeleer/oh-my-poshGo | v < 29.35.1, v < 29.35.1+incompatible | 29.35.1, 29.35.1+incompatible |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.