> ohmyzsh 命令注入漏洞

ohmyzsh 命令注入漏洞

CNNVD-ID编号	CNNVD-202111-1147	CVE编号	CVE-2021-3934
发布时间	2021-11-12	更新时间	2021-11-15
漏洞类型	命令注入	漏洞来源	N/A
危险等级	中危	威胁类型	N/A
厂商	N/A

漏洞介绍

ohmyzsh是一个开源的、社区驱动的框架，用于管理您的zsh配置。 ohmyzsh 存在命令注入漏洞，该漏洞源于 ohmyzsh 的 omz_urldecode 函数使用一个 eval 来解码输入，它可以被用来注入命令。这仅在 svn 插件中使用，它需要一个复杂的过程来利用，所以它极不可能被攻击者使用。

漏洞补丁

目前厂商已发布升级了ohmyzsh 命令注入漏洞的补丁，ohmyzsh 命令注入漏洞的补丁获取链接： https://github.com/ohmyzsh/ohmyzsh/commit/6cb41b70a6d04301fd50cd5862ecd705ba226c0e

参考网址

来源:CONFIRM

链接：https://huntr.dev/bounties/ad2b5c3f-a3ce-4407-94dc-354c723310ce

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202111-1147