CVE-2026-80432

Nome do Software Vulnerável e Versões Afetadas kitty versões 0.47.0 até 0.48.x

Descrição Uma falha de autorização existe no processamento do protocolo de arrastar e soltar (drag and drop). Um programa que escreva no terminal pode obter o conteúdo de arquivos arrastados sobre a janela, mesmo que o usuário não complete a ação de soltar. Isso ocorre porque a função drop enqueue request() em kitty/dnd.c atende a solicitações de dados de arrasto sem verificar o estado de soltura da janela, permitindo que um cliente receba dados enquanto o item está apenas pairando. Além disso, a função drop left child() não limpa o estado de solicitação pendente, descritores de arquivo abertos, handles de diretório e listas de URI quando o item arrastado deixa a janela. Consequentemente, um cliente pode continuar a leitura através de um handle de diretório retido ou manter um fluxo de transferência de arquivo ativo após o término do arrasto. O processo do kitty lê o conteúdo dos arquivos diretamente do sistema de arquivos usando os caminhos fornecidos pela origem do arrasto, resultando na divulgação não autorizada do conteúdo dos arquivos.

Recomendações Atualizar para a versão 0.49.0.