CVE-2026-45353

Krytyczna podatność w kliencie electerm (wersje 3.0.6–3.8.8)

CVSS 9.3v4.0pub. 2026-05-28upd. 2026-06-03

Aplikacja electerm, będąca klientem terminal/SSH/SFTP/Telnet/RDP/VNC i innych protokołów, zawiera krytyczną podatność w wersjach od 3.0.6 do 3.8.8. Podatność oceniona na CVSS 9.3 może pozwolić lokalnemu atakującemu na przejęcie kontroli nad systemem i powiązanymi zasobami.

▸ Pokaż oryginał (EN)

electerm is an open-sourced terminal/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp client. From 3.0.6 to 3.8.8, This vulnerability is fixed in 3.9.0.

🤖 Analiza AI

Jak działa

Podatność obejmuje trzy klasy błędów: CWE-94 (nieprawidłowa neutralizacja dyrektyw w generowanym kodzie — code injection), CWE-732 (nieprawidłowe uprawnienia do zasobów krytycznych) oraz CWE-940 (nieprawidłowa weryfikacja źródła kanału komunikacyjnego). Atakujący z lokalnym dostępem i niskimi uprawnieniami może, bez interakcji użytkownika, wykorzystać te błędy do wstrzyknięcia i wykonania własnego kodu w kontekście aplikacji oraz wpłynięcia na systemy zewnętrzne.

Skutki

Atakujący może uzyskać pełen dostęp do poufności, integralności i dostępności zarówno atakowanego systemu, jak i systemów z nim powiązanych (wysoki wpływ na składowe SC/SI/SA). W praktyce może to oznaczać przejęcie sesji SSH/RDP/VNC, kradzież danych uwierzytelniających oraz wykonanie dowolnego kodu.

Mitygacja

Należy zaktualizować electerm do wersji 3.9.0, w której podatność została naprawiona. Szczegóły poprawki dostępne są w repozytorium GitHub projektu (commit 0599e67) oraz w security advisory GHSA-7p5m-v798-f8vv.

Kogo dotyczy

Aplikacja electerm w wersjach od 3.0.6 do 3.8.8 (włącznie)

Uwagi

Podatność została zgłoszona i naprawiona przez zespół projektu electerm. Poprawka dostępna jest w commicie 0599e67069b00e376a2e962649aaad6096e63507. Opis oryginalny nie zawiera szczegółowego opisu mechanizmu ataku — pełna analiza techniczna dostępna w security advisory producenta.

CVSS Vector

CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X