PT-2026-35678 · Kde · Kcoreaddons

Felix Boulet · Publicado 2026-04-28 · Atualizado 2026-05-05 · CVE-2026-41526

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas KDE KCoreAddons versões anteriores a 6.25

Descrição A função KShell::quoteArgs() foi projetada para citar argumentos de forma segura para comandos de shell. No entanto, ela não lida adequadamente com metacaracteres, o que pode levar a um escape do shell. Aplicativos que utilizam este método em caminhos críticos de segurança para processar entradas de usuário estão suscetíveis. Especificamente, como a função sendInput() transmite strings para um terminal, um caractere de controle como x01 pode ser utilizado durante o processo de injeção.

Recomendações Atualize para a versão 6.25 ou posterior.

Correção

Enumeração de Fraquezas

CWE-150

Identificadores relacionados

CVE-2026-41526

Produtos afetados

Kcoreaddons

Referências · 15

• https://github.com/KDE/kcoreaddons/blob/50d360736c399502fedf203e95482b0d0e5a3ea2/src/lib/util/kshell.h#L43-L49 · Nota
• https://github.com/KDE/kcoreaddons/blob/50d360736c399502fedf203e95482b0d0e5a3ea2/src/lib/util/kshell.h#L168 · Nota
• https://github.com/KDE/kcoreaddons/releases/tag/v6.25.0 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-41526 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41526 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2026-41526 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-41526 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2049139641144508880 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2026-41526 · Aviso do Fabricante
• https://kde.org/info/security/advisory-20260427-1.txt · Aviso do Fabricante
• https://t.me/cveNotify/162210 · Publicação no Telegram
• https://t.me/CVEtracker/52056 · Publicação no Telegram
• https://invent.kde.org/frameworks/kcoreaddons · Nota
• https://twitter.com/vuldb/status/2049343963153502629 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-41526 · Aviso do Fabricante