CVE-2026-58459

Nome do Software Vulnerável e Versões Afetadas gpsd versões anteriores a 3.27.6

Description Um problema de injeção de comando existe na ferramenta gpsprof. Atacantes que conseguem controlar o valor do subtipo do dispositivo GPS podem executar comandos de shell arbitrários ao incorporar payloads de crase (backticks) no título do gráfico do gnuplot. Isso ocorre porque o campo de subtipo, originado de uma entrada de log JSON DEVICES ou de uma sentença NMEA PGRMT, é gravado em um programa gnuplot gerado via uma instrução set title onde apenas caracteres de aspas duplas são escapados. A execução ocorre como o usuário que executa o gnuplot quando o gráfico é renderizado através do fluxo de trabalho gpsprof e gnuplot.

Recommendations Atualize para a versão que contenha o commit 4c06658 ou posterior.