| Title | KovidgoyalのKittyにおける複数の脆弱性 |
|---|---|
| Summary | KittyはクロスプラットフォームのGPUベースのターミナルです。バージョン0.47.0より前のバージョンでは、kittyターミナルにバイトを書き込むことができるプログラム（リモートSSHピア、`cat`で表示したダウンロードファイル、ログ行、`less`でレンダリングされたメール本文、TUI内のIssue本文など）が、実行中のkittyプロセス内で攻撃者が提供したPythonコードをユーザーの全権限で実行させる可能性がありました。承認プロンプトは表示されず、リモートコントロールの許可も不要で、シェル統合の操作やクリップボードのアクセス、エディタの操作も発生しません。バージョン0.47.0でこの問題は修正されています。 |
| Possible impacts | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| Solution | ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | June 12, 2026, midnight |
| Registration Date | June 17, 2026, 3:46 p.m. |
| Last Update | June 17, 2026, 3:46 p.m. |
| CVSS3.0 : 重要 | |
| Score | 7.8 |
|---|---|
| Vector | CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| Kovidgoyal |
| Kitty 0.47.0 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年06月17日] 掲載 |
June 17, 2026, 3:46 p.m. |
| Summary | Kitty is a cross-platform GPU based terminal. In versions prior to 0.47.0, a program able to write bytes to a kitty terminal — a remote SSH peer, a downloaded file viewed with `cat`, a log line, an email body rendered in `less`, an issue body in a TUI, etc. — can cause kitty to execute attacker-supplied Python inside the running kitty process, with the user's full privileges. There is no approval prompt, no remote-control permission requirement, no shell-integration interaction, no clipboard touch, and no editor interaction. Version 0.47.0 fixes the issue. |
|---|---|
| Publication Date | June 13, 2026, 5:16 a.m. |
| Registration Date | June 14, 2026, 4:11 a.m. |
| Last Update | June 17, 2026, 1:07 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:kovidgoyal:kitty:*:*:*:*:*:*:*:* | 0.47.0 | ||||