Television (tv): OS-Command-Injection über manipulierte Dateinamen

Zusammenfassung

Television (tv) in den Versionen 0.15.0 bis 0.15.9 enthält eine OS-Command-Injection-Schwachstelle in format_command, bei der einfache Anführungszeichen in Dateinamen nicht korrekt maskiert werden. Ein Angreifer, der eine Datei mit einem präparierten Namen mit Apostroph an einem Ort platzieren kann, mit dem der Benutzer arbeitet, kann nach Auslösen einer Aktion wie der Standard-Bearbeitungsaktion Shell-Befehle mit den Rechten des Opfers ausführen. Für die Ausnutzung sind lokaler Dateizugriff und eine Benutzerinteraktion nötig, jedoch kein Netzwerkzugriff und keine Authentifizierung.

Betroffen

• Television (tv) 0.15.0 bis 0.15.9

Behoben in

Unbekannt. Es darf nicht davon ausgegangen werden, dass 0.15.9 oder eine spätere Version behoben ist, bis der Upstream-Commit 32695ccc6cd2b05cf7f1d3b80c24e324d5343eec und die Versionshinweise geprüft wurden.

Umgehung

Keine Workaround-Massnahme des Herstellers dokumentiert.

• Bis zu einer bestätigten Korrekturversion tv nicht in unvertrauenswürdigen Repositories, heruntergeladenen Archiven oder Shared Folders ausführen.
• Bearbeitungs- und External-Action-Tastenbelegungen für Dateien vermeiden, deren Namen nicht selbst vergeben wurden.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Nicht im CISA-KEV-Katalog gelistet. EPSS unter 1 Prozent.
• Öffentlicher Proof of Concept: nicht verifiziert.
• Keine bekannte Ausnutzung in freier Wildbahn.

Unsere Empfehlung

• Erfassen, wo tv installiert ist (zum Beispiel über Homebrew, Cargo, WinGet oder Nix).
• Verwendung von tv auf unvertrautem Code, Downloads und Shared Drives einschränken, bis eine Korrektur bestätigt ist.
• Upstream-Korrektur verfolgen und auf eine Version aktualisieren, deren Korrektur bestätigt ist.
• Upstream-Issue und Advisories überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-112263 VulnCheck advisory www.vulncheck.com
• Television commit 32695ccc (possible fix) github.com
• Television commit d7d46abb github.com
• Television issue 1166 github.com
• Television 0.15.9 command.rs github.com
• Television 0.15.9 files.toml github.com
• OpenCVE CVE-2026-112263 app.opencve.io
• Television project repository github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:25.