CVE-2026-54162
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Ember to panel terminala czasu rzeczywistego dla serwerów Caddy z obsługą FrankenPHP. Przed wersją 1.4.2 interaktywne formatery wierszy TUI przekazują pola dziennika dostępu Caddy, w szczególności identyfikator URI żądania, przez pomocnika renderowania `fitCellLeft` bez neutralizowania sekwencji ucieczki terminala lub sekwencji kontrolnych. Nieuwierzytelniony klient zdalny może umieścić bajty kontrolne ANSI, OSC lub CSI w zwykłym celu żądania HTTP. Caddy JSON-ucikuje te bajty, `ParseLogLine` dekoduje je z powrotem do surowych kontrolek, a formatery łączą je w wyjście `View()`, osiągając `os.Stdout`. Gdy operator przegląda domyślną zakładkę „Logi”, terminal interpretuje te sekwencje, umożliwiając fałszowanie panelu monitorowania, przejmowanie schowka przez „OSC 52” i fałszowanie tytułu okna przez „OSC 0/2”. Działa to nawet w przypadku odbiornika logów obsługującego tylko pętlę zwrotną, ponieważ dane wejściowe docierają poprzez normalne dzienniki dostępu Caddy. „Certyfikaty” i „Trasy” współdzielą dodatkowe, niezneutralizowane źródła renderowania. Tryby `--json`, `--once` i demon `--expose` pozostają niezmienione, ponieważ nie renderują terminala interaktywnego. Konsekwencje zależą od emulatora terminala i zwykle wymagają dalszych działań operatora w celu eskalacji; nie jest to zdalne wykonanie kodu ogólnego przeznaczenia. Ten problem został rozwiązany w wersji 1.4.2.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org