Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - broot 在其互動式樹狀結構檢視中呈現每個檔案和目錄名稱，與從檔案系統讀取的名稱完全相同。在 src/tree_build/builder.rs 和 src/tree/tree_line.rs 中的 TreeLine：：unprune 中使用純 to_string_lossy（） 呼叫轉換名稱，並且程式碼中的任何位置都不存在控制字元篩選，即使 TreeLine 名稱欄位上的 doc 註解指出某些字元可能已被刪除。因此，任何可以建立檔案的本機使用者都可以在其名稱中放置一個逸出序列，並將其未修改地寫入瀏覽該目錄的任何人的終端機，在 broot 自己的樣式程式碼之間。報告的概念驗證使用 OSC 52 剪貼簿寫入序列並捕獲 broot 寫入其 pty 的原始位元組，確認該序列未剝離地到達終端。注入的 OSC 或 CSI 序列可以做什麼取決於正在使用的終端模擬器。瀏覽目錄是 broot 的主要功能，並不期望內容是可信的。（CVE-2026-72847）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - broot 在其交互式树视图中呈现每个文件和目录名称，与从文件系统读取的完全相同。src/tree_build/builder.rs 和 src/tree/tree_line.rs 的 TreeLine：：unprune 中通过普通 to_string_lossy（） 调用转换名称，并且代码中的任何位置都不存在控制字符过滤，即使 TreeLine 名称字段上的 doc 注释指出某些字符可能已被剥离。因此，任何能够创建文件的本地用户都可以在其名称中放置一个转义序列，并使其不经修改地写入浏览该目录的任何用户的终端，介于 broot 自己的样式代码之间。一项报告的概念验证使用 OSC 52 剪贴板写入序列并捕获了 broot 写入其 pty 的原始字节，确认该序列能够以未剥离的方式到达终端。注入的 OSC 或 CSI 序列随后可以做什么取决于使用的终端仿真器。浏览目录是 broot 的主要功能，并不期望内容可信。（CVE-2026-72847）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートのopenSUSE 16ホストには、openSUSE- SU-2026:21675-1アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    broot の変更:

    - v1.59.0(CVE-2026-72847 boo#1275994)
      * 新しい shell_command 動詞属性:シェルを通してコマンドを実行する(sh -c / cmd /C)so &, ;とパイプは broot を残さずに機能します - 修正 #1145
      * 新しいビルドチェーンで無効な公式 Mac バイナリ(重複リンクされた dylib)を修正します - 修正 #1194
      * 画像プレビュー用の Sixel グラフィックサポート、自動検出:iterm2、Windows Terminal 1.22+ および Sixel 対応 Unix ターミナル(foot、mlterm、Sixel でビルドされた xterm、最近の WezTerm)で動作します。利用可能な場合は、Kitty が推奨プロトコルであり続けます。注:これには、broot が sixel 機能でコンパイルされている必要があります(例:cargo install broot --features sixel) - 修正 #568
      * Rio 端末の高解像度画像(それを検出して Kitty 画像プロトコルを有効にします) - 修正 #1179
      * iTerm2 3.6.10 以降でハイレゾ画像が表示されない問題、バージョンはテキストとして比較される問題を修正します
      * matchが行の最初のバイトで始まる場合のcontent-exact 一致の行番号を off-by-one で修正します(broot は上の行にジャンプしました)
      * 新しい :no_action 内部、何もしない、これがキーを無効にするために利用される可能性があります - 修正 #328
      * 修正:実行中のサーバーを密かに追い越すのではなく、重複する broot サーバー名を検出します - 修正 #1065
      * .tar.gz などの二重拡張で機能しないプレビュートランスフォーマー拡張マッチングを修正します - 修正 #1195
      * OSC インジェクションを防ぐために、表示された名前からエスケープシーケンスを取り除きます - 修正 #1188
      * ???? ではなく数値 uid/gid にフォールバックユーザーまたはグループの名前を解決できない場合(静的にリンクされた musl ビルドで常に該当する場合) - 修正 #1075
      * コントロール文字で終わる行末の空の文字列と一致するコンテンツ正規表現のパニックを修正します(CRLF ファイルの cr/$/ など)
      * :cd などを使用する際に、ランチャーの eval によってマングルされる Windows パス(バックスラッシュを含む)を修正します。また、単一引用符を含むパスのエスケープを修正します - 修正 #1100
      * 一時パスにスペース(例:Windows ユーザー名のスペース)が含まれている場合に、Windows/PowerShell で br が失敗する問題を修正します - 修正 #788
      * JPEG XL 画像はもはやプレビューされません:デコーダーに領域外バグがあり、この修正にはより新しい rustc が必要です(必要な場合は、私に言ってください。私はそれをオプトインするようにします)
      * rustc minimal バージョンは 1.83 から 1.85 に変更され、エディションは 2024 年

    - v1.58.0
      * 可能な動詞補完がリストされる方法を変更し、画面に収まるものが多い場合に読みやすくします
      * --cmd シーケンスで無視される :select と :show の引数を修正します - 修正 1176

    - v1.57.0
      * help:動詞の「keys」および「description」列が現在検索可能 - 修正 #1163
      * 複数項目のステージングエリアを印刷する際の末尾の空行を追加する :p rint_path / :p rint_relative_path を修正 - 修正 #1062
      * スキン:selected_lineエントリの属性(太字、下線など)が適用されるようになりました - 修正 #1156
      * Wezterm のバージョンが見つからない場合、broot は、画像用の kitty プロトコルをサポートするのに十分な最新版であると想定するようになりました。 - 修正 #509

    - v1.56.4
      * unix 以外のプラットフォームでのコンパイルを修正します(1.56.3 は、これらのシステムでは利用できません)

    - v1.56.3
      * broot 終了後にターミナルにときどき残る制御文字を修正します
      * nushell:br モジュールの名前を変更し、最新の nushell バージョンでの競合を回避します - 修正 #1138
      * :open_stay ステージング領域で、ステージングされたすべてのファイルをシステムオープナーを通して開きます - 修正 #444

    - v1.56.2
      * {file-root-relative} 引数 - 修正 #1142
      * 修正:clear_stage(またはステージパネルを閉じる他の操作)が頻繁に broot を閉じる - 修正 #1143

    - v1.56.1
      * デフォルト設定の動詞の誤字を修正します

    - v1.56.0
      * 動詞引数impacted_panel、動詞の効果を別のパネルに配置することができます(例:ツリーからフォーカスを削除せずにプレビューパネルをスクロール) - 修正 #1119
      * focus_panel_left および focus_panel_right internals - 修正 #1115
      * 重要な機能:ステージングされたファイルをマージして、単一のコマンドを発行します:動詞の引数にスペース区切りまたはコンマ区切りのフラグがある場合、選択肢が複数あっても、単一の外部コマンドが実行されます - #465 の修正 デフォルトの verbs.json ファイルには、すべてのステージングされたファイルからアーカイブを構築する zip 動詞の例が含まれています。

    - v1.55.0
      * Kitty グラフィックプロトコルを有効にして、iTerm2 でハイレゾ画像を表示します
      *東京ナイトスキン( https://github.com/Canop/broot/blob/main/resources/default-conf/skins/tokyo-night.hjson )
      * 結合された、および/または複合パターンで行われたいくつかの名前パターンに関連する一致は、最初のものだけが表示されるのではなくマージされます
      * nushell 統合: $nu.temp-path を $nu.temp-dir に切り替えます - #1116

    - v1.54.0
      * Kitty 画像プロトコルによる白黒画像のレンダリング時のクラッシュを修正します
      * 複合パターンにコンテンツパターンがある場合、ディレクトリを一致させません。(例: /js$/&!c/;:
    ユーザーがセミコロンを含まない js ファイルを一致させたいことは明らかです)

    - v1.53.0
      * 実行時に動詞が入力から削除されない一部のケースを修正します(偶発的に二重実行されるリスクがあります)
      * Windows で :filesystems(短い :fs)動詞と状態を追加します(Linux と Mac には既に存在していました)。
      * ファイルツリーパターンからのプレビューパターンの生成を向上します(例: /java$/&c/test を /test に設定する)を修正しました。この変更により、broot は、プレビューをフィルタリングする必要のないときに、フィルター処理を回避します(例:/java$/|c/test を検索した場合) - 次を参照してください #1097
      * 名前が有効な UTF-8 ではないファイルを表示します(以前は無視されていました)
      * Android 実行可能ファイルが公式バイナリアーカイブに戻されました

    - v1.52.0
      * auto_open_staging_area設定 - 修正 #1090
      * シンボリックリンクのファイルターゲットのコンテンツを検索します - 修正 #1081
      * nushell スクリプトを修正( --listen と --listen-auto にロジックをスワップ)
      * エラー時にゼロでない終了コードを返します

    - v1.51.0
      * 画像レンダリングの改善(Zune-Image ライブラリの使用による速度、および双線形補間による品質の両方)
      * Android 上の 1.50.0 によるコンパイル破損を修正
      * --listen-auto がランダムな Linux ソケットでコマンドをリッスンします - 修正 #1064
      * 自動完了時に、back-tab が逆の順番で循環します - 修正 #1071

    - v1.50.0
      * 大きなテキストファイルが初期表示に部分的にのみロードされ、残りはバックグラウンドで行われます - 修正 #1052
      * kitty_graphics_display オプションと $TMUX_NEST_COUNT 環境変数により、tmux、ssh または不明な端末での kitty イメージプロトコルのサポートを強化 - PR を参照 #1034
      * ゴミ箱コンパイル機能を削除:ゴミ箱関連の機能がプラットフォームに応じて構築されます
      * ビルドチェーンが改訂されました。今後の公式リリースには、Mac バイナリを含むはずです
      * ステージパネルの最後のエントリの二重アンステージでのクラッシュを修正します - 修正 #1057
      * スキンが何も指定しない場合、テキストプレビューのために透明な背景にフォールバック

    - v1.49.1
      * 監視の効率化が大幅に向上(一部の深い変更では、自動更新には至らず、dir サイズにのみ影響)
      * 「--listen」で付けられた名前が、「{server-name}」動詞引数として verb に提供されるようになりました

    - v1.49.0
      * 「:toggle_watch」内部、「:watch」ショートカット付き、デフォルトで「alt-w」にバインド。ウォッチングがアクティブな場合、ディレクトリ/ファイルが、たとえ深いディレクトリであっても、変更されるたびにツリーがリフレッシュされます - 修正 #730
      * 画像プレビューで、特定の色ではなく透明な背景にフォールバックします - #1040 を修正します - ありがとう@letmeiiiin
      * Android/termux の書き込み不可能な場所に書き込まれた --server ソケットを修正します - 修正 #1045

    - v1.48.0
      * キーショートカットの「Cmd」修飾子をサポート(キーは、システムとユーザーに応じて「Command」、「Super」、「Apple」、「Windows」と呼ばれます)
      * ファイルシステム機能が Mac で利用可能になりました:
          - ファイルシステムを一覧表示する「:fs」画面
          - ファイルシステムの空き領域と合計領域は、サイズ計算を要求されたときに表示されます
          - デバイス ID が「:toggle_device_id」で表示される(ショートカット:dev)
      * Mac にロードされない「.config/git/ignore」を修正します - 修正 #1032 - ありがとうございました@9999years

    - v1.47.0
      * 制御文字付きのテキストファイルは、以前はバイナリとしてプレビューされていました。これらは現在、必要に応じて「」を含むテキストとして表示されます。 - 修正 #977
      * ANSI エスケープコードを含むファイル(例えば「dysk --color yes > ansi.txt」で取得されるファイルが、「:p review_tty」でプレビューできるようになりました。 - 修正 #1019
      * ツリーの最初の行が収まらない場合は、クロップ(右揃え)されます

    - v1.46.5
      * コマンドシーケンスで呼び出され、常に新しいパネルを開く「:focus some/path」を修正します - 修正 #1014

    - v1.46.4
      * F24 にF13キーのサポート(お使いのシステムがサポートする場合)
      * 構成で与えられる引数を持つ「:focus」が、root 選択時に 1 レベル上がる問題を修正します - 修正 #1009
      * 「default_flags」にあるときに無視される「--max-depth」を修正します - 修正 #1013

    - v1.46.3
      * 「:quit」などの内部上のイベントを待機する broot を修正します - 修正 #1006

    - v1.46.2
      * 破損した nushell スクリプトを修正(再度「--max-depth」)

    - v1.46.1
      * 新しい「--max-depth」引数によって破損した nushell スクリプトを修正します

    - v1.46.0
      * :set_max_depth <number> と :unset_max_depth
      * ステージング領域でファイルが削除される際にキャッシュをクリア
      * 前回のプレビュー以降にソースファイルが変更された場合、プレビュー変換を再計算

    - v1.45.1
      * 「--locked」なしでコンパイルが失敗する問題を修正

    - v1.45.0
      * リフレッシュ後にやり直すことが不可能なトータル検索を修正
      * 「refresh_after: false」の場合、動詞構成が、実行後にツリーをリフレッシュしないようにリクエストできます

    - v1.44.7
      * 間違った正規表現の一致位置を修正します
      * resvg 依存関係を以下に更新します 0.44
      * 「--server」で、既存のソケットがすでに存在する場合はそれを削除します

    - v1.44.6
      * git リポジトリにない場合に無視される .ignore ファイルを修正します
      * git2 の依存関係を以下に更新します 0.20

    - v1.44.5
      * 実際の変更はありません(一部のパッケージを楽にするためにクレート名を元に戻しただけです)

    - v1.44.4
      * 構文カラーリングのプレビューでのパニックを修正(崇高な構文が正規表現エンジンと互換でない場合)

    - v1.44.3
      * 左右のキーのデフォルトのバインドを削除しました。これを動詞.hjsonに追加することで、それらを元に戻すことができます。
        { キー:左、内部:戻る }{ キー:右、内部:open_stay }
      * rustc minimal バージョンが 1.76 から 1.79 に変更されました。これにより、画像レンダリングのパフォーマンスが向上しました
      * onig への依存関係を削除し、GCC 15 との互換性を確保します

    - v1.44.2
      * kitty 用に作成された一時ファイルが、終了時または書き込まれたファイルが多すぎると消去されるようになりました
      * BROOT_LOG=debug で起動してもパニックは発生しないが、broot.logファイルを作成できない
      * ????として表示されるユーザー名とグループ名を修正OpenLDAP から来た場合

    - v1.44.1
      * IME(入力方式エディター)ポップアップの間違った位置を修正します - 以下を参照してください #948
      * 機能に対するターミナルのクエリを改善します(一部のエスケープ文字が漏洩しないようにします)

    - v1.44.0
      * 「:focus_staging_area_no_open」内部、すでに開いている場合はステージングエリアにフォーカスします。それ以外の場合は何もしません
      * 括弧のない複数の演算子のある一部の複合パターンを修正します

    - v1.43.0
      * ゴミ箱画面の「サイズ」列と「削除日」列。この画面は「:toggle_date」、「:toggle_size」、「:sort_by_date」、「:sort_by_size」内部をサポートするようになりました。
      * 新しい「:show」内部により、提供されたパスが可視化および選択され、必要に応じてツリーに線が追加されますが、提供されたパスが現在のツリールートの子孫でない場合は何も実行しません(この部分はフィードバック次第で変更されます)

    - v1.42.0
      * 「.gitignore」と同じ構文の「.ignore」ファイルをサポート。これらのファイルは「.gitignore」よりも優先されるため、個人的な「.ignore」ファイルは共有された「.gitignore」をオーバーライドできます - 「:toggle_ignore」内部 https://dystroy.org/broot/tree_view/#hidden-ignored-files* 「:toggle_git_ignore」と同じですが、より明確な名前が付いているため、優先されるべきです
      * 「panels」動詞フィルターが、ほとんどのコンテキストで機能するようになりました(以前は、重要なイベントでのみチェックされていました)
      * 多くの依存関係が更新されました

    - v1.41.1
      * rustc でコンパイルを許可します 1.76

    - v1.41.0
      * 重要な機能: :search_again
        - ctrl-s は現在、次のいずれかを行う「:search_again」をトリガーします
        - アクティブなフィルタリングパターンがない場合、最後に使用した検索パターンを戻します
        - フィルタリングパターンがアクティブで検索が完了しなかった場合、合計検索を行います
      * 重要な機能:パネル幅を変更する内部
        - 「set_panel_width」、パネルのインデックスと希望の幅をパラメーターとして取得します
        - 「move_panel_divider」、除算器のインデックスと希望する変更をパラメーターとして取得します
        - 「ctrl-<」は、デフォルトで「:move_panel_divider 0 -1」にバインドされています
        - 「ctrl->」は、デフォルトで「:move_panel_divider 0 1」にバインドされています
        - http://dystroy.org/broot/panels/#resize-panels* マイナーな変更を参照してください:
        - git ファイル情報が表示され、git が無視したファイルが非表示になっていない場合、これらのファイルには「I」のフラグが付けられます。
        - コンテンツ検索除外リストから.bak拡張を削除
        - nerdfont および vscode アイコンを更新します
        - 「{initial-root}」動詞引数

    - v1.40.0
      * 重要な機能:プレビュートランスフォーマ プレビューの前に適用するプレビュートランスフォーマを定義できるようになりました。
        たとえば、PDF や Office ファイルをプレビューしたり、JSON ファイルを美しくしたりすることができます。
        conf.hjson ファイルの「preview_transformers」配列を編集します。
        ルート上の検索 https://dystroy.org/broot/conf_file/#preview* 修正を参照してください
      * 一部の動詞サイクル問題を修正します

    - v1.39.2
      * Windows に表示される UNC パスを修正します( 1.39.1での回帰)

    - v1.39.1
      * リリースモードで破損した高解像度(kitty protocole)画像を修正します
      * フォーカスする際にパスを正規化します(主にリンクをたどるときに便利です)
      * いくつかのマイナーな内部最適化

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしていないことに留意してください。ただし、代わりにアプリケーションから自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - broot は、各ファイルとディレクトリ名をそのインタラクティブツリービューで、ファイルシステムから読み取ったとまったく同じようにレンダリングします。名前は、src/tree_build/builder.rs の平文 to_string_lossy() 呼び出しおよび src/tree/tree_line.rs の TreeLine::unprune で変換され、TreeLine 名前フィールドの doc コメントに一部の文字がストリップされていることが示されていても、コードのどこにも制御文字のフィルタリングは存在しません。このため、ファイルを作成できるローカルユーザーは、その名前にエスケープシーケンスを配置し、そのディレクトリをブラウズするすべてのユーザーのターミナルに、変更せずに broot 自身のスタイルコードの間で書き込むことができます。報告された概念実証では、OSC 52 クリップボード書き込みシーケンスを使用し、broot がその pty に書き込んだ生のバイトをキャプチャすることで、シーケンスがストリップされずにターミナルに到達することを確認しました。注入されたOSCまたはCSIシーケンスができることは、使用中の端末エミュレータによって異なります。ディレクトリの参照は broot の主要な機能であり、コンテンツが信頼できることを期待しません。(CVE-2026-72847)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by a vulnerability as referenced in the openSUSE- SU-2026:21675-1 advisory.

    Changes in broot:

    - v1.59.0 (CVE-2026-72847 boo#1275994)
      * new shell_command verb attribute: run a command through a shell (sh -c / cmd /C) so &&, ; and pipes     work, without leaving broot - Fix #1145
      * fix invalid official Mac binary (duplicate linked dylib) with new build chain - Fix #1194
      * Sixel graphics support for image preview, auto-detected: works in iterm2, Windows Terminal 1.22+ and     Sixel-capable Unix terminals (foot, mlterm, xterm built with Sixel, recent WezTerm). Kitty remains the     preferred protocol when available. Note: this requires broot to be compiled with sixel feature (eg cargo     install broot --features sixel) - Fix #568
      * High-Res images in Rio terminal (detect it to enable the Kitty image protocol) - Fix #1179
      * fix iTerm2 3.6.10 and later not displaying Hi-Res images, the version being compared as text
      * fix content-exact match line number off-by-one when the match starts at the first byte of a line     (broot jumped to the line above)
      * new :no_action internal, doing nothing, which can be used to disable a key - Fix #328
      * fix: detect a duplicate broot server name instead of silently overtaking the running server - Fix     #1065
      * fix preview transformers extension matching not working with double extensions such as .tar.gz - Fix     #1195
      * strip escape sequences from displayed names to prevent OSC injections - Fix #1188
      * fall back to numeric uid/gid instead of ???? when the user or group name can't be resolved, which is     always the case on statically linked musl builds - Fix #1075
      * fix panic on a content regex matching the empty string at the end of a line ending with a control char     (eg cr/$/ on a CRLF file)
      * fix Windows paths (containing backslashes) being mangled by the launcher's eval when using :cd and     similar; also fixes escaping of paths containing a single quote - Fix #1100
      * fix br failing on Windows/PowerShell when the temp path contains a space (e.g. a space in the Windows     username) - Fix #788
      * JPEG XL images are no longer previewed: the decoder had out-of-bounds bugs and the fix needs a more     recent rustc (if you need it, tell me and I'll try to make it opt-in)
      * rustc minimal version changed from 1.83 to 1.85, and edition 2024

    - v1.58.0
      * change the way possible verb completions are listed, making it more readable when there are more than     what fits the screen
      * fix argument of :select and :show being ignored in a --cmd sequence - Fix 1176

    - v1.57.0
      * help: verb 'keys' and 'description' columns now searchable - Fix #1163
      * fix :print_path / :print_relative_path adding a trailing empty line when printing a multi-item staging     area - Fix #1062
      * Skin: attributes (bold, underlined, etc.) of the selected_line entry now applied - Fix #1156
      * if no Wezterm version is found, broot now assumes it's recent enough to support kitty protocol for     image - Fix #509

    - v1.56.4
      * fix compilation on non unix platforms (1.56.3 isn't available on those systems)

    - v1.56.3
      * fix control characters sometimes remaining in the terminal after broot exit
      * nushell: rename br module to avoid conflict in last nushell version - Fix #1138
      * :open_stay on the staging area opens every staged file through the system opener - Fix #444

    - v1.56.2
      * {file-root-relative} argument - Fix #1142
      * fix :clear_stage (or other operations closing the stage panel) often closing broot - Fix #1143

    - v1.56.1
      * fix a typo in a verb in default conf

    - v1.56.0
      * impacted_panel verb argument, allows the effect of a verb to be on another panel (eg to scroll the     preview panel without removing the focus from the tree) - Fix #1119
      * focus_panel_left and focus_panel_right internals - Fix #1115
      * Major Feature: merge staged files to issue a single command: when a verb argument has a space-     separated or comma-separated flag, a single external command is run even when the selection is multiple -     Fix #465 The default verbs.json file has an example of a zip verb building an archive from all staged     files.

    - v1.55.0
      * activate Kitty Graphics Protocol to display Hi-Res images in iTerm2
      * Tokyo Night skin ( https://github.com/Canop/broot/blob/main/resources/default-conf/skins/tokyo-     night.hjson )
      * matches related to several name patterns joined with and/or in a composite pattern are merged instead     of having just the first one shown
      * nushell integration: switch $nu.temp-path to $nu.temp-dir - #1116

    - v1.54.0
      * fix crash on rendering B&W images with Kitty image protocol
      * don't match directories when a composite pattern has a content pattern, even negated (eg /js$/&!c/;:
    it's clear the user wants to match js files not containing a semicolon)

    - v1.53.0
      * fix some cases of the verb not removed from the input on execution (with a risk of accidental double     execution)
      * add the :filesystems (short :fs) verb and state on windows (it was already present on linux and mac).
      * improve the generation of preview pattern from a file tree pattern (i.e. going from /java$/&c/test to     /test on opening a matching file in preview). With this change broot avoids filtering the preview when it     shouldn't (eg when you searched /java$/|c/test) - See #1097
      * display files whose name isn't valid UTF-8 (they were previously ignored)
      * android executable is back to the official binary archive

    - v1.52.0
      * auto_open_staging_area preference - Fix #1090
      * search content of file target of symlink - Fix #1081
      * fix nushell script (swapped logic for --listen and --listen-auto)
      * return non-zero exit code on error

    - v1.51.0
      * improved image rendering (both speed by using the zune-image library, and quality with bilinear     interpolation)
      * fix compilation broken by 1.50.0 on Android
      * --listen-auto listens for commands on a random linux socket - Fix #1064
      * when auto-completing, back-tab cycles in reverse order - Fix #1071

    - v1.50.0
      * big text files now only partially loaded for initial display, remaining being done in background - Fix     #1052
      * better support of kitty image protocol over tmux, ssh or unknown terminals, with     kitty_graphics_display option and $TMUX_NEST_COUNT env variable - see PR #1034
      * trash compilation feature removed: trash related features are built depending on the platform
      * build chain revised. Future official releases should include a Mac binary
      * fix crash on double unstage of last entry in stage panel - fix #1057
      * fallback to transparent background for text preview when the skin specifies nothing

    - v1.49.1
      * watching made much more efficient (some deep changes won't lead to an automatic refresh which only     impacts dir size)
      * the name given with `--listen` is now provided to verb as the `{server-name}` verb argument

    - v1.49.0
      * `:toggle_watch` internal, with `:watch` shortcut, bound by default to `alt-w`. When watching is     active, the tree is refreshed whenever any directory/file, even deep, is changed - Fix #730
      * fallback to a transparent background for images in image preview instead of a specific color - Fix     #1040 - Thanks @letmeiiiin
      * fix --server socket written at a non writable location on Android/termux - Fix #1045

    - v1.48.0
      * Support for the 'Cmd' modifier in key shortcuts (the key is called 'Command', 'Super', 'Apple',     'Windows', depending on systems and users)
      * filesystem features have been made available for Mac:
          - the `:fs` screen, listing filesystems
          - filesystem free space & total space displayed when size computations are requested
          - device id displayed with `:toggle_device_id` (shortcut: dev)
      * Fix `.config/git/ignore` not being loaded on Mac - Fix #1032 - Thanks @9999years

    - v1.47.0
      * text files with control chars were previously previewed as binary. They're now displayed as text with     some '' when needed - Fix #977
      * files with ANSI escape codes (such as the one you would obtain with `dysk --color yes > ansi.txt` can     now be previewed with `:preview_tty` - Fix #1019
      * first line of the tree is cropped (right aligned) when it doesn't fit

    - v1.46.5
      * fix `:focus some/path` called in a command sequence always opening new panel - Fix #1014

    - v1.46.4
      * support for keys F13 to F24 (if your system supports it)
      * fix `:focus` with argument given in configuration going up one level when root is selected - Fix #1009
      * fix `--max-depth` ignored when in `default_flags` - Fix #1013

    - v1.46.3
      * fix broot waiting for events on internals like `:quit` - Fix #1006

    - v1.46.2
      * fix broken nushell script (`--max-depth` again)

    - v1.46.1
      * fix nushell script broken by new `--max-depth` argument

    - v1.46.0
      * :set_max_depth <number> and :unset_max_depth
      * clear cache when files are deleted in staging area
      * recompute preview transform when source file changed since last preview

    - v1.45.1
      * Fix compilation failing without `--locked`

    - v1.45.0
      *  Fix total search impossible to redo after refresh
      * With `refresh_after: false`, a verb configuration can request that the tree isn't refreshed after its     execution

    - v1.44.7
      * fix bad regex match position
      * update resvg dependency to 0.44
      * on `--server`, remove the existing socket if it already exists

    - v1.44.6
      * fix .ignore files ignored when not in a git repository
      * update git2 dependency to 0.20

    - v1.44.5
      * no real change (just reverting a crate name to ease some packaging)

    - v1.44.4
      * fix panic in preview on syntax coloring (when a sublime syntax isn't compatible with the regex engine)

    - v1.44.3
      * removed default bindings on left and right keys. You may add them back by adding this to your     verbs.hjson:
        { key: left, internal: back }         { key: right, internal: open_stay }
      * rustc minimal version changed from 1.76 to 1.79, which allows better performing image rendering
      * remove dependency to onig, to allow compatibility with gcc 15

    - v1.44.2
      * temp files created for kitty now erased on quitting or when too many of them have been written
      * no longer panics when launched with BROOT_LOG=debug but the broot.log file can't be created
      * fix user and group names displayed as ???? when coming from openldap

    - v1.44.1
      * fix wrong position of IMEs (input method editors) popup - See #948
      * improve querying the terminal for capabilities (prevent some escape chars from leaking)

    - v1.44.0
      * `:focus_staging_area_no_open` internal, focus the staging area if it's already open, does nothing in     other case
      * fix some composite patterns with several operators and no parenthesis

    - v1.43.0
      * 'Size' and 'Deletion date' columns in trash screen. This screen now supports the `:toggle_date`,     `:toggle_size`, `:sort_by_date`, and `:sort_by_size` internals.
      * new `:show` internal make the provided path visible and selected, adding lines to the tree if     necessary, does nothing if the provided path is not a descendant of the current tree root (this part may     change depending on feedback)

    - v1.42.0
      * support of `.ignore` files with the same syntax than `.gitignore`. They have priority over     `.gitignore` so that a personal `.ignore` file can override a shared `.gitignore` - See     https://dystroy.org/broot/tree_view/#hidden-ignored-files
      * `:toggle_ignore` internal, identical to `:toggle_git_ignore`, but with a clearer name so should be     preferred
      * the `panels` verb filter now works in most contexts (it was previously only checked on key events)
      * many dependencies updated

    - v1.41.1
      * allow compilation with rustc 1.76

    - v1.41.0
      * Major Feature: :search_again
        - ctrl-s now triggers `:search_again` which either
        - brings back the last used search pattern, when no filtering pattern is active
        - does a total search if a filtering pattern is active and the search wasn't complete
      * Major Feature: internals changing panel widths
        - `set_panel_width`, taking as parameter the index of the panel and the desired width
        - `move_panel_divider`, taking as parameter the index of the divider and the desired change
        - `ctrl-<` is bound by default to `:move_panel_divider 0 -1`
        - `ctrl->` is bound by default to `:move_panel_divider 0 1`
        - See http://dystroy.org/broot/panels/#resize-panels
      * Minor Changes:
        - when git file infos are shown, and git ignored files aren't hidden, those files are flagged with a     'I'
        - Remove .bak extension from content search exclusion list
        - Update nerdfont and vscode icons
        - `{initial-root}` verb argument

    - v1.40.0
      * Major Feature: preview transformers         You can now define preview transformers to be applied before preview.
        They allow for example previewing PDF or Office files, or beautifying JSON files.
        Edit the `preview_transformers` array in your conf.hjson file.
        See https://dystroy.org/broot/conf_file/#preview
      * fix search on root
      * fix some verb cycling problems

    - v1.39.2
      * fix UNC paths being displayed on Windows (regression at 1.39.1)

    - v1.39.1
      * fix high-resolution (kitty protocole) image broken in release mode
      * canonicalize paths when focusing them (mostly useful when following links)
      * a few minor internal optimizations

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - broot renders each file and directory name in its interactive tree view exactly as read from the     filesystem. Names are converted with a plain to_string_lossy() call in src/tree_build/builder.rs and in     TreeLine::unprune in src/tree/tree_line.rs, and no control-character filtering exists anywhere in the     code, even though the doc comment on the TreeLine name field states that some characters may have been     stripped. Any local user who can create a file can therefore place an escape sequence in its name and have     it written unmodified to the terminal of anyone who browses that directory, between broot's own styling     codes. A reported proof of concept used an OSC 52 clipboard-write sequence and captured the raw bytes     broot wrote to its pty, confirming the sequence reaches the terminal unstripped. What an injected OSC or     CSI sequence can then do depends on the terminal emulator in use. Browsing a directory is broot's primary     function and carries no expectation that the content is trusted. (CVE-2026-72847)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
338646	Linux Distros 未修補弱點：CVE-2026-72847	Nessus	Misc.	8/21/2026	10/1/2026	low
338646	Linux Distros 未修补的漏洞：CVE-2026-72847	Nessus	Misc.	8/21/2026	10/1/2026	low
341581	openSUSE 16 セキュリティ更新:broot(openSUSE-SU-2026:21675-1)	Nessus	SuSE Local Security Checks	8/30/2026	8/30/2026	low
338646	Linux Distros のパッチ未適用の脆弱性: CVE-2026-72847	Nessus	Misc.	8/21/2026	10/1/2026	low
341581	openSUSE 16 Security Update : broot (openSUSE-SU-2026:21675-1)	Nessus	SuSE Local Security Checks	8/30/2026	8/30/2026	low
338646	Linux Distros Unpatched Vulnerability : CVE-2026-72847	Nessus	Misc.	8/21/2026	10/1/2026	low

Detections

Analytics

Plugins Search

low

low

low

low

low

low