CVE-2026-95832

Niewłaściwa neutralizacja specjalnych elementów na wyjściu używanych przez dalszy komponent w obsłudze kodu ucieczki kontroli kolorów w kitty od 0.47.3 przed 0.49.0 umożliwia programowi piszącemu do terminala wykonanie dowolnego polecenia w powłoce użytkownika, ponieważ color_control() w kitty/window.py odpowiada na zapytanie o nierozpoznaną nazwę pola, umieszczając tę nazwę pola w odpowiedzi, a write_escape_code_to_child() w kitty/screen.c następnie zapisuje odpowiedź do mastera pseudoterminala, gdzie nie można jej odróżnić od danych wprowadzonych przez użytkownika, bez neutralizowania jej dla czytającej ją powłoki. Ładunek jest redukowany do drukowanego kodu ASCII, zanim zostanie powtórzona nazwa pola, co jest ograniczeniem wprowadzonym w wersji 0.47.3 jako poprawka dla CVE-2026-54057 oraz separatorów rekordów i pól; i = są używane jako ograniczniki, ale każdy inny znak, który można wydrukować, przetrwa, co wystarczy do utworzenia polecenia powłoki. Nowa linia jest dostępna w handle_remote_ssh() w kitty/window.py, która zapisuje bajty uzyskane przez get_ssh_data() w Kitty/ssh/utils.py, z których pierwszy zaczyna się od nowej linii, do głównego pseudoterminala przed sprawdzeniem jakichkolwiek danych uwierzytelniających zawartych w żądaniu. Odpowiedź jest formułowana w postaci sekwencji OSC zawierającej numer kodu ucieczki, nazwę pola i wartość dosłowną ?. Powoduje to wykonanie wybranego przez atakującego polecenia z uprawnieniami użytkownika uruchamiającego terminal.