Kovid Goyal

**Nome do Software Vulnerável e Versões Afetadas** kitty versões 0.47.0 até 0.48.x **Descrição** A resolução inadequada de links no caminho de encenação da fonte de arrasto do protocolo de arrastar e soltar permite que um programa que escreva no terminal crie arquivos e diretórios fora do diretório de encenação. Isso ocorre porque a função `subdir data for drag()` em `kitty/dnd.c` resolve descendentes da árvore de itens encenados construindo uma string de caminho e abrindo-a com `safe open(path, O DIRECTORY | O RDONLY, 0)` em vez de percorrer a árvore componente por componente. Um invasor pode declarar duas entradas com o mesmo nome — primeiro um link simbólico apontando para um caminho absoluto arbitrário e, em seguida, um diretório — fazendo com que o `mkdirat()` falhe com EEXIST. O código ignora essa falha, levando a resolução de caminho subsequente a seguir o link simbólico e retornar um descritor de diretório fora do diretório de encenação. Este descritor é então passado como o argumento `dirfd` para `add payload()` e usado para todas as operações de criação subsequentes. Embora os nomes das entradas sejam sanitizados, os alvos dos links simbólicos não são validados. Arquivos são criados com O CREAT | O WRONLY | O EXCL no modo 0644, impedindo a sobrescrita de arquivos existentes, mas diretórios são criados com `mkdirat()` no modo 0755, permitindo a criação de novos diretórios intermediários em qualquer caminho gravável pelo usuário que executa a aplicação, desde que o alvo do link simbólico seja um diretório existente. **Recomendações** Atualize o kitty para a versão 0.49.0 ou posterior.

Improper Neutralization of Special Elements in Output Used by a Downstream Component in the colour control escape code handler in kitty from 0.47.3 before 0.49.0 allows a program writing to the terminal to execute an arbitrary command in the user's shell, because color control() in kitty/window.py answers a query for an unrecognised field name by placing that field name into the reply, and write escape code to child() in kitty/screen.c then writes the reply to the pseudoterminal master, where it is not distinguishable from input typed by the user, without neutralising it for the shell that reads it. The payload is reduced to printable ASCII before the field name is echoed, which is the restriction introduced in 0.47.3 as the fix for CVE-2026-54057, and the record and field separators ; and = are consumed as delimiters, but every other printable character survives, which is sufficient to compose a shell command. A newline is available from handle remote ssh() in kitty/window.py, which writes the bytes yielded by get ssh data() in kittens/ssh/utils.py, the first of which begin with a newline, to the pseudoterminal master before any credential carried in the request is checked. The reply is framed as an OSC sequence carrying the escape code number, the field name, and the literal value ?. This results in execution of an attacker-chosen command with the privileges of the user running the terminal.

**Nome do Software Vulnerável e Versões Afetadas** kitty versões 0.40.0 até 0.48.x **Descrição** Existe uma gravação fora dos limites (out-of-bounds write) no ramo de largura natural do protocolo de dimensionamento de texto. A função `screen handle multicell command()` em `kitty/screen.c` anexa cada codepoint de um cluster de grafemas usando `lc.chars[lc.count++] = ch` sem realizar uma verificação de capacidade. Como `lc` é declarado como um array `char type` de quatro elementos através da macro `RAII ListOfChars`, um código de escape OSC 66 cujo payload contenha um cluster de grafemas com mais de quatro codepoints grava além do buffer. Caso o cluster seja precedido por uma sequência que cause um flush intermediário, o buffer é migrado para o heap por `ensure space for chars()`, e a gravação ocorre além da alocação do heap. Isso resulta na terminação do processo kitty e, consequentemente, de todas as suas janelas, abas e processos filhos. **Recomendações** Atualize para a versão 0.49.0 ou posterior.

Missing Authorization in the drop handling path of the drag and drop protocol in kitty from 0.47.0 before 0.49.0 allows a program writing to the terminal to obtain the contents of files dragged over the window even when the user never completes the drop, because drop enqueue request() in kitty/dnd.c serves a drag data request without first checking the drop state of the window, so a client that issues the request while a drag is merely hovering receives the data offered for the drag. In the same file, drop left child(), which runs when the drag leaves the window without a drop having occurred, releases the offered MIME list but retains the pending request state, the open file descriptor and its main loop transfer timer, the directory handles, the URI list and the pending MIME name, so a client can continue to read through a retained directory handle, and an in-flight file transfer continues to stream, when no drag is in progress. The file contents are read from the filesystem by the kitty process itself using the paths the drag source offered. This results in disclosure of the contents of files the user moved over the window without ever releasing them into it.

Use After Free in the drag source path of the drag and drop protocol in kitty from 0.47.0 before 0.49.0 allows a program writing to the terminal to cause the terminal to read from and write to freed heap memory, because drag remote file data() in kitty/dnd.c holds a DragRemoteItem pointer into an array it does not own, calls toplevel data for drag() or subdir data for drag(), and then continues to use that pointer. Those helpers, and add payload() and populate dir entries() which they call, report errors through the abrt() macro, which expands to cancel drag() followed by a plain return, and cancel drag() calls drag free offer(), which frees the array the pointer refers to. The helpers return void, so the caller receives no indication that the teardown happened, and proceeds to call all children complete() on the freed pointer, which dereferences it, and then to write through it. That dereference is guarded by a local flag that is set when the request carries no payload and announces no further data, which is the same condition that selects the finalisation block of add payload(), so the error paths in that block reach it: a create that fails because an entry of the same name already exists, because the client may declare two entries with one name and the create operations use O CREAT with O EXCL and symlinkat(), a mkdirat() failure other than EEXIST, and the directory entry allocation paths. Both branches reach it. In the top level branch the caller's pointer is never cleared, so clearing the owning structure's own pointers during teardown does not help. In the sub directory branch subdir data for drag() sets the caller's pointer to NULL on entry and assigns it only after its own last error path, so its own aborts leave the caller with NULL and are stopped by a null check, but it then calls add payload() with that pointer set, and an abort there leaves the caller holding a freed child node inside the item tree, which drag free offer() frees by recursion. This results in undefined behaviour in the terminal process, reachable from the byte stream of any program running in the window.

**Nome do Software Vulnerável e Versões Afetadas** kitty versões 0.25.0 até 0.48.9 **Descrição** A falta de autorização no manipulador de código de escape askpass permite que um usuário local obtenha o texto digitado em um prompt exibido pelo terminal. A função `handle remote askpass()` em `kitty/window.py` abre um objeto de memória compartilhada POSIX nomeado no código de escape, analisa uma definição de prompt e grava a resposta do usuário de volta em um objeto com o mesmo nome, sem verificar a propriedade ou as permissões. Um invasor pode criar um objeto de memória compartilhada, fazer com que o terminal da vítima renderize um prompt personalizado (como um prompt de senha mascarada) via uma string de controle de dispositivo e, posteriormente, ler o segredo digitado. Além disso, o texto do prompt é passado para a exibição sem a sanitização de caracteres de controle, permitindo que ele sobrescreva a linha de aviso impressa pelo software. **Recomendações** Atualize o kitty para a versão 0.49.0 ou posterior.