PT-2026-44411 · Zed · Zed

Yueyuel · Publicado 2026-05-28 · Atualizado 2026-06-03 · CVE-2026-44461

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Zed versões anteriores a 0.227.1

Description O Zed constrói comandos remotos SSH/WSL como uma string de comando de shell que começa com exec env ..., mas as chaves de variáveis de ambiente são inseridas sem citação de shell ou validação. Um invasor que possa controlar uma chave de variável de ambiente, por exemplo, através de configurações de terminal do projeto, pode disparar expansões de shell (como $(...)) que são avaliadas pelo shell remoto quando um terminal é aberto. Isso permite a execução de comandos arbitrários no host remoto sob a conta do usuário vítima.

Recommendations Atualize para a versão 0.227.1.

Exploit

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-44461

Produtos afetados

Zed

Referências · 7

• 🔥 https://github.com/zed-industries/zed/security/advisories/GHSA-63qj-jc2q-7hg5 · Exploit
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-44461 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-44461 · Aviso do Fabricante
• https://twitter.com/DFIR_Lab/status/2060173598115918051 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-44461 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-44461 · Nota de Segurança
• https://t.me/cveNotify/165749 · Publicação no Telegram