CVE-2026-45035Tabby终端模拟器在1.0.233版本之前存在严重的安全漏洞。由于应用程序注册了tabby:// URL协议处理程序，且支持的run命令可直接执行系统命令而无需用户确认或沙箱隔离，攻击者可诱导受害者点击恶意链接，导致系统以当前用户权限远程执行任意代码。
该漏洞源于Tabby应用程序对自定义URL Scheme（tabby://）的不安全设计与实现。在受影响的版本中，Tabby安装时会向操作系统注册为`tabby://`协议的默认处理程序。该处理程序逻辑中包含一个`run`端点，用于接收并执行命令。关键缺陷在于，当Tabby解析此类URL时，直接提取`command`参数并将其传递给底层的子进程生成接口，而在此过程中完全绕过了用户授权确认（如弹窗警告）、输入参数的严格清洗以及沙箱环境的隔离限制。这使得攻击者能够通过社会工程学手段，构造包含恶意Shell命令或PowerShell脚本的URL（例如`tabby://run?command=powershell -encodedcommand...`）。一旦受害者点击该链接，操作系统将根据协议注册自动启动Tabby进程，Tabby随即解析并执行载荷。由于继承了用户的全部上下文权限，攻击者可借此在受害者主机上实现完全的远程代码执行，窃取数据或部署后门。