Vulnerabilidad en diff-so-fancy de so-fancy (CVE-2026-50642)
Gravedad CVSS v4.0:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
29/07/2026
Última modificación:
23/10/2026
Descripción
diff?so?fancy no sanitiza correctamente las secuencias de control de terminal no SGR antes de mostrar los datos diff. La aplicación solo elimina las secuencias ANSI SGR mientras permite que otros caracteres de control, incluyendo el retorno de carro (\r) y las secuencias de escape (p. ej., OSC, CSI), pasen sin sanitizar.<br />
<br />
Un atacante puede incrustar secuencias de control maliciosas en nombres de archivo, metadatos diff o contenido de archivo que se renderizan directamente en el terminal durante la visualización del diff. Esto puede llevar a la manipulación de la salida, incluyendo la suplantación de nombres de archivo, el borrado de la pantalla del terminal y la inyección en el portapapeles a través de secuencias de escape soportadas.<br />
<br />
La explotación exitosa puede inducir a error a los usuarios durante la revisión de código, alterar el estado del terminal o resultar en la ejecución de comandos no deseados mediante el secuestro del portapapeles.<br />
<br />
Este problema ha sido corregido en el commit 9c81294
Impacto
Puntuación base 4.0
4.80
Gravedad 4.0
MEDIA