جزئیات آسیب‌پذیری
CVE-2026-110102
romkatv powerlevel10k
powerlevel10k through 1.20.0 Download of Code Without Integrity Check in gitstatus Installer
CVSS 4.0
7.7بالا
شرح رسمی (انگلیسی)
Powerlevel10k through 1.20.0 contains an insecure download vulnerability in the gitstatus/install script that disables TLS certificate verification with curl -k and skips integrity checks when no SHA-256 utility exists. Network-positioned attackers can intercept the github.com mirror request and substitute a malicious archive, which runs as the gitstatusd daemon under the user's account on every prompt.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.7بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| 7.5بالا | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| romkatv | powerlevel10k | v ≤ 1.20.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/romkatv/powerlevel10k/issues/2970 issue-trackingtechnical-description
- https://github.com/romkatv/powerlevel10k/blob/v1.20.0/gitstatus/install#L306-L333 technical-description
- https://github.com/romkatv/powerlevel10k/blob/v1.20.0/gitstatus/install#L348 technical-description
- https://www.vulncheck.com/advisories/powerlevel10k-through-1.20.0-download-of-code-without-integrity-check-in-gitstatus-installer third-party-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۷/۲۱
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۷/۲۲
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۰٫۱۲٪
احتمال بهره‌برداری در ۳۰ روز
۱٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-494Download of Code Without Integrity Check