PT-2026-41730 · Unknown · Claude-Hud

Katriel Moses · Publicado 2026-05-18 · Atualizado 2026-05-20 · CVE-2026-47090

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.6

Média

Vetor base

AV:L/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Claude HUD versões 0.0.0 a 0.0.12

Descrição O software constrói sequências de escape de hiperlink de terminal OSC 8 usando valores brutos de cwd e branchUrl sem remover caracteres de controle ou codificar valores incorporados. Isso permite que invasores injetem códigos ANSI arbitrários em sessões de terminal ao incorporar sequências ESC+barra invertida no diretório de trabalho atual ou na URL do branch. Os impactos potenciais incluem alterações na cor do texto, prompts forjados, gravações de área de transferência OSC 52 ou o disparo de solicitações HTTP externas para remotos controlados por invasores quando os hiperlinks são clicados.

Recomendações Atualize para a versão que contém o commit 234d9aa. Como medida paliativa temporária, evite usar diretórios ou URLs de branch que contenham caracteres de controle nas variáveis cwd e branchUrl.

Correção

Enumeração de Fraquezas

CWE-150

Identificadores relacionados

CVE-2026-47090

Produtos afetados

Claude-Hud

Referências · 8

• https://github.com/jarrodwatts/claude-hud/pull/487 · Correção
• https://github.com/jarrodwatts/claude-hud/commit/234d9aad919b51326a43bcf90b45ae35c23afc30 · Correção
• https://github.com/jarrodwatts/claude-hud/issues/485 · Nota
• https://twitter.com/CVEnew/status/2056994230879617369 · Publicação no Twitter
• https://vulncheck.com/advisories/claude-hud-terminal-injection-via-osc-8-hyperlinks · Nota
• https://twitter.com/infoflowcloud/status/2056994921886650553 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-47090 · Nota de Segurança
• https://t.me/CVEtracker/54167 · Publicação no Telegram