CVE-2026-72913
Publiée le 2026-08-10 · Dernière modification le 2026-10-23
Les utilisateurs du terminal Kitty basé sur GPU (versions antérieures à la 0.48.2) sont exposés à un risque d'exécution de commandes arbitraires sur leur machine locale. Un attaquant peut déclencher cela en incitant un utilisateur à afficher des données de terminal non fiables, ce qui permet à l'attaquant d'envoyer des commandes malveillantes directement dans le shell de l'utilisateur. Cela ne nécessite aucun privilège spécial ni d'authentification, mais requiert une interaction de l'utilisateur avec le contenu malveillant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Kitty is a cross-platform GPU based terminal. Prior to 0.48.2, the @kitty-echo and @kitty-ssh DCS handlers in kitty/window.py write unauthenticated data to the child shell's stdin, where handle_remote_echo accepts printable shell command characters and handle_remote_ssh calls get_ssh_data in kittens/ssh/utils.py, which emits a newline; chaining the handlers can execute attacker-controlled commands when a user displays untrusted terminal data. This issue is fixed in version 0.48.2.