CVE-2025-49091
Publiée le 2025-06-11 · Dernière modification le 2026-06-17
Les utilisateurs de l'émulateur de terminal KDE Konsole sont concernés par une faille dans la manière dont l'application gère certaines URL réseau. Un attaquant peut exécuter du code arbitraire sur votre système s'il vous convainc de cliquer sur un lien malveillant (comme un lien commençant par `ssh://`) alors que l'outil correspondant n'est pas installé sur votre machine. Comme cela nécessite une interaction manuelle de la victime avec un lien et dépend d'une configuration système spécifique, l'exploitation de cette faille est considérée comme difficile.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
KDE Konsole before 25.04.2 allows remote code execution in a certain scenario. It supports loading URLs from the scheme handlers such as a ssh:// or telnet:// or rlogin:// URL. This can be executed regardless of whether the ssh, telnet, or rlogin binary is available. In this mode, there is a code path where if that binary is not available, Konsole falls back to using /bin/bash for the given arguments (i.e., the URL) provided. This allows an attacker to execute arbitrary code.