آسیب‌پذیری در نرم‌افزار gotop
CVE ID
CVE-2026-91784
تاریخ انتشار
02 اکتبر 2026
فروشنده
cjbassi
محصول
gotop
نسخه‌های آسیب‌پذیر
3.0.0
نوع آسیب‌پذیری (CWE)
عدم خنثی‌سازی صحیح جداکننده‌های آرگومان در یک دستور ('تزریق آرگومان') (CWE-88)
منبع گزارش
گزارش به CERT Polska
توضیحات
CERT Polska گزارشی درباره آسیب‌پذیری در نرم‌افزار cjbassi/gotop دریافت کرده و در هماهنگی افشای آن مشارکت کرده است.
آسیب‌پذیری CVE-2026-91784: cjbassi/gotop به تزریق آرگومان محلی از طریق قابلیت خاتمه فرآیند آسیب‌پذیر است. نام فرآیند به طور مستقیم به pkill بدون پاک‌سازی منتقل می‌شود. یک مهاجم محلی می‌تواند یک فرآیند با نام طراحی‌شده‌ای که با -- آغاز می‌شود (به عنوان مثال، شامل UID کاربر هدف) ایجاد کند. زمانی که کاربری که gotop را اجرا می‌کند، ویژگی kill را بر روی آن فرآیند فراخوانی کند، pkill نام طراحی‌شده را به عنوان یک گزینه خط فرمان تفسیر کرده و تمام فرآیندهای متعلق به کاربر هدف را خاتمه می‌دهد.
محصول دیگر به‌طور فعال پشتیبانی نمی‌شود و آسیب‌پذیری برطرف نشده است. آسیب‌پذیری در نسخه 3.0.0 تأیید شده است؛ نسخه‌های دیگر آزمایش نشده‌اند اما ممکن است تحت تأثیر قرار گیرند.
اعتبارات
از Michał Majchrowicz و Marcin Wyczechowski از تیم AFINE برای گزارش مسئولانه آسیب‌پذیری تشکر می‌کنیم.
اطلاعات بیشتر درباره فرآیند افشای هماهنگ آسیب‌پذیری در CERT Polska را می‌توان در https://cert.pl/en/cvd/ یافت.