PT-2026-37124 · Electerm · Electerm

Forimoc + 1 · Publicado 2026-04-16 · Atualizado 2026-05-12 · CVE-2026-41500

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas electerm versões anteriores a 3.3.8

Descrição Um problema de injeção de comando existe na função runMac() dentro do arquivo github.com/elcterm/electerm/npm/install.js:150. A função anexa a variável remota releaseInfo.name, que pode ser controlada por um invasor, diretamente a um comando exec("open ...") sem a validação adequada. Isso afeta usuários que executam npm install -g electerm no Mac OS. Um invasor capaz de controlar os metadados de lançamento remotos fornecidos pelo servidor de atualização do projeto poderia executar comandos arbitrários do sistema, adulterar arquivos locais e comprometer ativos de desenvolvimento ou execução.

Recomendações Atualize para a versão 3.3.8.

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2026-41500

GHSA-WXW2-RWMH-VR8F

Produtos afetados

Electerm

Referências · 11

• https://github.com/electerm/electerm · Nota
• https://github.com/electerm/electerm/security/advisories/GHSA-wxw2-rwmh-vr8f · Aviso do Fabricante
• https://github.com/electerm/electerm/commit/59708b38c8a52f5db59d7d4eff98e31d573128ee · Correção
• https://github.com/electerm/electerm/releases/tag/v3.3.8 · Nota
• https://twitter.com/lyrie_ai/status/2054307349502828906 · Publicação no Twitter
• https://t.me/cveNotify/162661 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2053559135514300757 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-wxw2-rwmh-vr8f · Aviso do Fabricante
• https://twitter.com/lyrie_ai/status/2054307347074343147 · Publicação no Twitter
• https://twitter.com/CVEarity/status/2052778806524739601 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41500 · Nota de Segurança