CVE-2026-95835

Brakująca autoryzacja w procedurze obsługi kodu ucieczki Askpass w kitty od wersji 0.25.0 przed 0.49.0 pozwala użytkownikowi lokalnemu, innemu niż ten, który uruchamia terminal, uzyskać tekst wpisany w podpowiedzi wyświetlanej przez sam Kitty, ponieważ handle_remote_askpass() w kitty/window.py otwiera obiekt pamięci współdzielonej POSIX nazwany w kodzie ucieczki, analizuje z niego definicję podpowiedzi i zapisuje odpowiedź użytkownika z powrotem do obiektu o tej samej nazwie, bez sprawdzania w żadnym momencie, czy obiekt jest własnością użytkownika uruchamiającego kitty lub czy jego uprawnienia wykluczają innych użytkowników. Równoważny konsument tej samej klasy SharedMemory w kociaku ssh przeprowadza dokładnie tę kontrolę; ścieżka Askpass nie. Do procedury obsługi można uzyskać dostęp poprzez ciąg kontrolny urządzenia przetworzony ze strumienia bajtów okna, więc osoba atakująca musi również spowodować wyświetlenie wybranych przez siebie bajtów na terminalu ofiary. Tam, gdzie przestrzeń nazw pamięci współdzielonej POSIX jest współdzielona między dwoma użytkownikami, drugi użytkownik lokalny może utworzyć obiekt z uprawnieniami, które pozwolą ofierze na jego odczyt i zapis, spowodować, że kotek ofiary wygeneruje monit wybrany przez atakującego, w tym monit o zamaskowane hasło, a następnie ponownie odczyta wpisany sekret z obiektu. Tekst zachęty jest dodatkowo przekazywany do wyświetlacza bez oczyszczania znaku kontrolnego, dzięki czemu może zastąpić wyświetlaną nad nim linię ostrzegawczą. Odpowiedź jest zapisywana poprzez ponowne otwarcie obiektu o tej nazwie, gdy użytkownik odpowie, a nie poprzez już trzymany uchwyt. Powoduje to ujawnienie wpisanego przez ofiarę sekretu drugiemu użytkownikowi lokalnemu i nie wymaga żadnych uprawnień na koncie ofiary.