Ghostty 1.4.0 يصلح ثغرة في حماية اللصق كانت تتجاهل الـ carriage return

صدر برنامج الطرفية Ghostty بإصداره 1.4.0 في 27 أكتوبر 2026، وفي قسم Security من ملاحظات الإصدار إصلاح لثغرتين.

الأولى، المسجلة برقم GHSA-4hwh-wx3w-3fqg، تخص حماية اللصق. فحين يُلصق نص يحتوي على نهاية سطر في الطرفية، يعتبر الـ shell أن الأمر اكتمل فينفذه فورًا. ولهذا تعرض الطرفيات تحذيرًا قبل لصق نص كهذا. لكن التحذير في Ghostty كان يبحث عن نهاية السطر بشكلها المعتاد، ولم يكن يعامل الـ carriage return، وهو الحرف الذي يعيد المؤشر إلى بداية السطر، كنهاية سطر، بينما يعامله الـ shell كذلك. فكان النص الذي يحمل هذا الحرف يمر دون تحذير وينفذ، في البرامج التي لا تستخدم bracketed paste، وهي الطريقة التي تخبر بها الطرفية البرنامج بأن النص ملصوق لا مكتوب. وتحتاج الثغرة إلى أن ينسخ المستخدم النص ويلصقه بنفسه.

والثانية، برقم GHSA-mhff-mv4q-fp63، أن أوامر Kitty graphics خبيثة كانت قادرة على تعطيل البرنامج أو دفعه إلى حجز ذاكرة ضخمة، وفي حالات محدودة على قراءة ملفات أو مسحها خارج المجلدات المؤقتة المسموح بها. وهذه لا تحتاج إلى لصق، بل يكفي أن يُعرض المحتوى الخبيث على الشاشة، كعرض ملف قادم من الخارج.

وتكتسب الثغرة الأولى أهميتها من عادة يومية لدى المطورين: نسخ الأوامر من المقالات والإجابات. فالنص المعروض في الصفحة قد يختلف عما يصل إلى الحافظة، وهذا الفرق هو الموضع الذي تعمل فيه هذه الهجمات. ويمتد الأمر إلى السكربتات وأنظمة الـ CI التي تركّب أوامر من نص قادم من الخارج.

ويأتي الإصدار بعد 7 أشهر من العمل، و2,889 commit من 172 مساهمًا، ويذكر الفريق أن ملاحظات الإصدار كتبها بشر واستغرقت أكثر من 16 ساعة.