Уязвимость в программном обеспечении gotop
CVE ID
CVE-2026-91784
Дата публикации
02 октября 2026
Поставщик
cjbassi
Продукт
gotop
Уязвимые версии
3.0.0
Тип уязвимости (CWE)
Неправильная нейтрализация разделителей аргументов в команде ('инъекция аргументов') (CWE-88)
Источник отчета
Отчет в CERT Polska
Описание
CERT Polska получил отчет об уязвимости в программном обеспечении cjbassi/gotop и участвовал в координации его раскрытия.
Уязвимость CVE-2026-91784: cjbassi/gotop уязвим к локальной инъекции аргументов через функциональность завершения процессов. Имя процесса передается напрямую в pkill без очистки. Локальный злоумышленник может создать процесс с поддельным именем, начинающимся с -- (например, содержащим UID целевого пользователя). Когда пользователь, запускающий gotop, вызывает функцию завершения для этого процесса, pkill интерпретирует поддельное имя как опцию командной строки, завершая все процессы, принадлежащие целевому пользователю.
Продукт больше не поддерживается активно, и уязвимость не была исправлена. Уязвимость была подтверждена в версии 3.0.0; другие версии не тестировались, но также могут быть затронуты.
Благодарности
Мы благодарим Михаła Майхровича и Марцина Вычеховского из команды AFINE за ответственный отчет об уязвимости.
Больше информации о процессе координированного раскрытия уязвимостей в CERT Polska можно найти по адресу https://cert.pl/en/cvd/.