CVE-2026-45035

Tabby rejestruje się jako systemowy handler dla schematu URL tabby:// na wszystkich platformach. Handler obsługuje komendę run (np. tabby://run?command=...), która bezpośrednio przekazuje parametr do systemu operacyjnego jako polecenie do wykonania — bez żadnej walidacji, sanityzacji ani potwierdzenia przez użytkownika. Wystarczy, że ofiara kliknie spreparowany link umieszczony na stronie internetowej, w wiadomości e-mail lub czacie, a system operacyjny uruchamia Tabby, który natychmiast spawuje wskazany proces jako potomny z uprawnieniami zalogowanego użytkownika.

Atakujący uzyskuje zdalne wykonanie dowolnego kodu (RCE) z pełnymi uprawnieniami ofiary, bez konieczności jakiejkolwiek dodatkowej interakcji poza kliknięciem linku. Możliwe jest przejęcie kontroli nad systemem, kradzież danych, instalacja złośliwego oprogramowania oraz dalsze działania w sieci ofiary.

Należy zaktualizować Tabby do wersji 1.0.233 lub nowszej, w której podatność została usunięta. Do czasu aktualizacji zaleca się szczególną ostrożność przy klikaniu linków zawierających schemat tabby:// oraz rozważenie dezaktywacji rejestracji tego schematu URL w systemie operacyjnym.

Tabby (dawniej Terminus) we wszystkich wersjach przed 1.0.233, na wszystkich obsługiwanych platformach systemowych.

Podatność opisana jest jako 'zero-click-after-link-visit RCE', co oznacza, że samo kliknięcie linku przez ofiarę jest wystarczające do wykonania ataku — nie jest wymagana żadna dalsza interakcja. Fix dostępny w wersji 1.0.233 zgodnie z oficjalnym advisory na GitHub.