CVE-2026-47090
Publiée le 2026-05-18 · Dernière modification le 2026-10-26
Claude HUD (versions 0.0.12 et antérieures) ne nettoie pas correctement les chemins de répertoires et d'URL, ce qui permet à un attaquant d'injecter des codes d'échappement ANSI malveillants dans votre terminal. Si vous accédez à un répertoire spécifiquement conçu à cet effet ou si vous cliquez sur un lien hypertexte malveillant, un attaquant pourrait usurper des invites de commande, modifier les couleurs de votre texte ou même écraser le presse-papiers de votre système. Cela nécessite un accès local à votre machine ainsi que votre interaction avec un fichier ou un lien malveillant pour être déclenché.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Claude HUD through 0.0.12, patched in commit 234d9aa, constructs OSC 8 terminal hyperlink escape sequences using raw cwd and branchUrl values without stripping control characters or encoding embedded values, allowing attackers to inject arbitrary ANSI codes into terminal sessions. Attackers can embed ESC+backslash sequences in the current working directory or branch URL to execute malicious ANSI codes including text color changes, forged prompts, and OSC 52 clipboard writes, or trigger outbound HTTP requests to attacker-controlled remotes when hyperlinks are clicked.