CVE-2026-54056

Nome do Software Vulnerável e Versões Afetadas Kitty versões 0.47.0 a 0.47.1

Description No componente kitten dnd, uma fonte remota maliciosa de arrastar e soltar (drag-and-drop) pode sobrescrever ou truncar arquivos arbitrários que o usuário local tenha permissão de escrita. Isso ocorre porque as quedas remotas de text/uri-list são organizadas em um diretório temporário onde nomes base remotos duplicados não são desduplicados em sistemas de arquivos sensíveis a maiúsculas e minúsculas. Um invasor pode criar um link simbólico (symlink) organizado e, posteriormente, enviar uma entrada de arquivo regular com o mesmo nome. A operação de escrita utiliza a função utils.CreateAt() e openat(O RDWR|O CREAT|O TRUNC) sem a flag O NOFOLLOW, fazendo com que o sistema siga o link simbólico e escreva dados fora do diretório de organização antes que a confirmação final de sobrescrita seja executada. Este problema afeta especificamente a organização de arrastar e soltar remoto em kittens/dnd/drop.go e tools/utils/file at fd.go.

Recommendations Atualizar para a versão 0.47.2.