CVE-2026-49864

Nome do Software Vulnerável e Versões Afetadas wetty versões anteriores a 3.0.4

Descrição O cliente wetty manipula incorretamente sequências de escape de download de arquivos ao decodificar um nome de arquivo em base64 e interpolá-lo diretamente em uma string HTML do Toastify sem a devida sanitização. Um invasor pode enviar uma sequência de escape especialmente elaborada (x1b[5i...:...x1b[4i) por meio de qualquer saída que a vítima renderize no terminal, como um arquivo lido via cat, um log monitorado, um MOTD de SSH ou uma resposta do curl. Isso permite a execução de JavaScript arbitrário na origem do wetty, que pode ser utilizado para ler o conteúdo do terminal ou injetar teclas escolhidas pelo invasor na sessão SSH ativa da vítima através da função window.wetty term.input().

Recomendações Atualize para a versão 3.0.4. Como medida de mitigação temporária, evite renderizar arquivos ou saídas não confiáveis no terminal ao utilizar o wetty.