CVE-2026-43941
Publiée le 2026-05-08 · Dernière modification le 2026-06-17
Les utilisateurs du client de terminal Electerm (version 3.8.15 et antérieures) sont exposés à un risque s'ils cliquent sur un lien malveillant affiché dans leur fenêtre de terminal. Un attaquant contrôlant la sortie d'une session distante — comme un serveur SSH compromis — peut exploiter ce manque de validation des URL pour exécuter du code arbitraire ou accéder à des fichiers locaux sur votre machine. Cette attaque ne nécessite aucune authentification, mais requiert que vous cliquiez manuellement sur un lien fourni par l'attaquant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
electerm is an open-sourced terminal/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp client. In versions 3.8.15 and prior, Electerm's terminal hyperlink handler passes any URL clicked in the terminal directly to shell.openExternal without any protocol validation. An attacker who controls terminal output (e.g., via a malicious SSH server, compromised remote host, or malicious plugin rendering terminal content) can thus achieve arbitrary code execution or local file access on the victim's machine, requiring only that the victim clicks a displayed link. At time of publication, there are no publicly available patches.