PT-2026-21303 · Unknown · Liquidprompt
Trey-Crystalpeak
·
Publicado
2026-02-20
·
Atualizado
2026-04-22
·
CVE-2026-27113
CVSS v3.1
6.3
Média
| Vetor | AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Liquid Prompt (versões afetadas não especificadas)
Descrição
O Liquid Prompt, um prompt adaptável para Bash e Zsh, contém uma falha em que a injeção de comandos arbitrária pode levar à execução de código. Isso ocorre quando um usuário entra em um diretório dentro de um repositório Git que possui um nome de branch especialmente elaborado. O problema requer que a opção de configuração
LP ENABLE GITSTATUSD esteja ativada, que o gitstatusd esteja instalado e em execução antes do carregamento do Liquid Prompt e que a substituição de prompt do shell esteja ativa. Um nome de branch contendo sintaxe de shell, como $(...) ou expressões entre crases, tanto no branch padrão quanto em um branch atual, será avaliado pelo shell quando o prompt for renderizado. O código vulnerável existe entre o commit cf3441250bb5d8b45f6f8b389fcdf427a99ac28a e anterior ao commit a4f6b8d8c90b3eaa33d13dfd1093062ab9c4b30c no branch master.Recomendações
Defina a opção de configuração
LP ENABLE GITSTATUSD como 0.Exploit
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Liquidprompt