CVE-2026-80432

kitty'nin 0.47.0 ile 0.49.0 arasındaki sürümlerinde, sürükle ve bırak protokolünün bırakma işleme yolundaki yetkilendirme eksikliği, terminale yazan bir programın, kullanıcı bırakma işlemini tamamlamasa bile pencere üzerine sürüklenen dosyaların içeriğini elde etmesine olanak tanır; çünkü kitty/dnd.c dosyasındaki drop_enqueue_request() fonksiyonu, pencerenin bırakma durumunu önceden kontrol etmeden bir sürükleme veri isteğine yanıt verir, böylece sadece üzerinde gezinilen bir sürükleme sırasında istek gönderen bir istemci, sürükleme için sunulan verileri alır. Aynı dosyada, sürükleme işlemi herhangi bir bırakma gerçekleşmeden pencereden ayrıldığında çalışan drop_left_child() fonksiyonu, sunulan MIME listesini serbest bırakır ancak bekleyen istek durumunu, açık dosya tanımlayıcıyı ve ana döngü aktarım zamanlayıcısını, dizin tutamaçlarını, URI listesini ve bekleyen MIME adını korur; bu nedenle bir istemci, hiçbir sürükleme işlemi devam etmiyorken korunan bir dizin tutamacı üzerinden okumaya devam edebilir ve devam eden bir dosya aktarımı akış sağlamaya devam eder. Dosya içerikleri, sürükleme kaynağının sunduğu yollar kullanılarak kitty sürecinin kendisi tarafından dosya sisteminden okunur. Bu durum, kullanıcının pencere üzerine taşıdığı ancak içine hiç bırakmadığı dosyaların içeriklerinin ifşa edilmesiyle sonuçlanır.