یک آسیب‌پذیری امنیتی با شناسه CVE-2026-101032 در ابزار navi (تا نسخه 2.24.0) شناسایی شده است که سطح شدت آن HIGH ارزیابی شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی ناشی از عدم پاک‌سازی (Escape) مناسب مقادیر متغیرهای cheatsheet در هنگام جایگزینی آن‌ها در دستورات Shell است. در واقع، برنامه در مدیریت ورودی‌ها دچار ضعف است و اجازه می‌دهد کاراکترهای کنترلی Shell وارد جریان اجرای دستورات شوند.
روش بهره‌برداری (Exploit)
- عامل تهدید می‌تواند از طریق ایجاد نام فایل‌های دستکاری شده (Crafted File Names) در دایرکتوری‌های مربوط به دستورات پیشنهادی، متاکاراکترهای Shell را تزریق کند.
- در صورت اجرای این دستورات توسط کاربر قربانی، مهاجم قادر خواهد بود دستورات دلخواه (Arbitrary Commands) را با سطح دسترسی کاربر جاری اجرا کند.
توصیه‌های امنیتی
به کاربران توصیه می‌شود در سریع‌ترین زمان ممکن ابزار navi را به آخرین نسخه به‌روزرسانی کنند تا اثرات این آسیب‌پذیری خنثی شود.
