CVE-2026-41526
Publiée le 2026-04-28 · Dernière modification le 2026-10-26
Les applications utilisant la bibliothèque KDE KCoreAddons (avant la version 6.25) pour assainir les commandes shell sont vulnérables à l'injection de commandes. Un attaquant peut exécuter du code arbitraire avec les privilèges de l'application, bien que cela nécessite que la victime interagisse avec une entrée spécifiquement conçue. Comme cela requiert un accès local et un niveau de complexité élevé pour être déclenché, le risque est considéré comme modéré plutôt qu'immédiat.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In KDE KCoreAddons before 6.25, KShell::quoteArgs is intended to safely quote arguments so that they can be passed to a shell command. This parsing does not adequately handle metacharacters, leading to an escape from the shell. All applications relying on this method in a security-critical path to handle user input are affected and could be exploited. In particular, because sendInput() sends a string to a terminal, a control character such as \x01 can be used during injection.