ثغرة في برنامج gotop

CVE ID

CVE-2026-91784

تاريخ النشر

02 أكتوبر 2026

البائع

cjbassi

المنتج

gotop

الإصدارات المعرضة للخطر

3.0.0

نوع الثغرة (CWE)

عدم التحييد السليم لفواصل المعامل في أمر ('حقن المعامل') (CWE-88)

مصدر التقرير

تقرير إلى CERT Polska

الوصف

تلقت CERT Polska تقريرًا عن ثغرة في برنامج cjbassi/gotop وشاركت في تنسيق الكشف عنها.

الثغرة CVE-2026-91784: cjbassi/gotop معرضة لحقن المعامل المحلي عبر وظيفة إنهاء العمليات. يتم تمرير اسم العملية مباشرة إلى pkill دون تنظيف. يمكن للمهاجم المحلي إنشاء عملية باسم مصمم يبدأ بـ -- (على سبيل المثال، يحتوي على UID المستخدم المستهدف). عندما يقوم المستخدم الذي يشغل gotop باستدعاء ميزة القتل على تلك العملية، يقوم pkill بتفسير الاسم المصمم كخيار من خيارات سطر الأوامر، مما يؤدي إلى إنهاء جميع العمليات المملوكة للمستخدم المستهدف.

المنتج لم يعد مدعومًا بنشاط ولم يتم إصلاح الثغرة. تم تأكيد الثغرة في الإصدار 3.0.0؛ لم يتم اختبار الإصدارات الأخرى ولكن قد تتأثر أيضًا.

الشكر

نشكر ميشال مايجروفيتش ومارتشين ويشخوكوفسكي من فريق AFINE على التقرير المسؤول عن الثغرة.

يمكن العثور على مزيد من المعلومات حول عملية الكشف المنسقة عن الثغرات في CERT Polska على https://cert.pl/en/cvd/.

الثغرات المرجعية

CVE-2026-91784 CVSS 4.8 MEDIUM Deferred

CVE-2026-91784 - Argument Injection leading to arbitrary process termination in gotop

cjbassi/gotop is vulnerable to local argument injection via process termination functionality. The process name is passed directly to pkill without sanitization. A local attacker can create a process with a crafted name beginning with -- (e.g. containing a target user's UID). When the user running gotop invokes the kill feature on that process, pkill interprets the crafted name as a command-line option, terminating all processes owned by the targeted user. Product is no longer actively supported and the vulnerabilities have not been fixed. Vulnerability was confirmed at version 3.0.0; other versions were not tested but may also be affected.

ثغرة في برنامج gotop

الثغرات المرجعية

المزيد من cert.pl