CVE-2026-55895

5th percentile — higher than 5% of all known CVEs

W Vimie przed wersją 9.2.0663 wykryto podatność na wstrzykiwanie kodu Vimscript w funkcji s:NetrwLocalRmFile() wtyczki netrw. Nazwa pliku pochodząca z listowania katalogu jest interpolowana do linii poleceń Ex przekazywanej do :execute z ucieczką tylko znaku backslasha, co pozwala na użycie znaku pionowej kreski (|) w nazwie pliku do zakończenia zamierzonego polecenia i wykonania dowolnego kodu Vimscript, w tym poleceń powłoki przez :call system() i :!.

Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu w kontekście użytkownika Vima, co może prowadzić do przejęcia kontroli nad systemem lub kradzieży danych.