Xdg-utils 1.0.2 及其早期版本会允许用户协助式的远程攻击者通过(1) xdg-open 或 (2) xdg-email的一个URL变量的shell metacharacters来执行任意命令。