CVE-2026-41501

Command injection w Electerm — wstrzyknięcie polecenia przez zdalny ciąg wersji

CVSS 9.8v3.1pub. 2026-05-08

W kliencie terminalowym Electerm (wersje przed 3.3.8) istnieje podatność typu command injection, umożliwiająca zdalnemu atakującemu wykonanie dowolnych poleceń systemowych bez uwierzytelnienia. Podatność ma ocenę CVSS 9.8 i jest sklasyfikowana jako krytyczna.

▸ Pokaż oryginał (EN)

electerm is an open-sourced terminal/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp client. Prior to version 3.3.8, a command injection vulnerability exists in github.com/elcterm/electerm/npm/install.js:130. The runLinux() function appends attacker-controlled remote version strings directly into an exec("rm -rf ...") command without validation. This issue has been patched in version 3.3.8.

🤖 Analiza AI

Jak działa

Funkcja runLinux() w pliku npm/install.js (linia 130) pobiera zdalny ciąg wersji i wstawia go bezpośrednio do polecenia exec("rm -rf ...") bez żadnej walidacji ani sanityzacji. Atakujący może dostarczyć spreparowany ciąg wersji zawierający dodatkowe polecenia systemowe, które zostaną wykonane w kontekście procesu Electerm. Ponieważ wektor ataku jest sieciowy, nie wymaga interakcji użytkownika ani żadnych uprawnień, co czyni tę podatność szczególnie niebezpieczną.

Skutki

Atakujący może wykonać dowolne polecenia systemowe na maszynie ofiary, co prowadzi do pełnego przejęcia poufności, integralności i dostępności systemu (RCE). Możliwe skutki obejmują kradzież danych, instalację złośliwego oprogramowania oraz pełną kompromitację hosta.

Mitygacja

Należy zaktualizować Electerm do wersji 3.3.8 lub nowszej, w której problem został naprawiony. Patch dostępny jest w repozytorium GitHub producenta (commit 59708b38c8a52f5db59d7d4eff98e31d573128ee) oraz w wydaniu v3.3.8.

Kogo dotyczy

Electerm (electerm-project/electerm) we wszystkich wersjach przed 3.3.8

Uwagi

Podatność została zgłoszona i naprawiona przez zespół projektu Electerm. Szczegóły techniczne dostępne są w security advisory GHSA-8x35-hph8-37hq na GitHub.