CVE-2026-112944
ŚrednieCVSS 6.3Streszczenie
Biblioteka launch-editor przed wersją 2.14.2 nie wymusza traktowania ścieżki pliku jako argumentu pozycyjnego. Jeśli atakujący utworzy plik zaczynający się od plusa lub minusa, wybrany edytor (Vim, gVim, MacVim, Emacs, Emacsclient, Notepad++ z pluginem) zinterpretuje nazwę pliku jako flagę wiersza poleceń, co może doprowadzić do nadpisania plików lub wykonania dowolnych poleceń.
Ocena ryzyka
Atakujący z możliwością zapisu w katalogu roboczym może doprowadzić do wykonania poleceń w kontekście użytkownika uruchamiającego edytor lub nadpisania istotnych plików.
Rekomendacja
Zaktualizuj launch-editor do wersji 2.14.2 lub nowszej.
Inne podatności w launch-editor
Zobacz wszystkie- CVE-2026-112943Średnie
Biblioteka launch-editor przed wersją 2.14.2 nie escapowała znaku % na Windows podczas przekazywania argumentu do cmd. Jeśli zmienna środowiskowa zawierała złośliwą wartość, mogło dojść do wykonania jej zawartości.
- CVE-2026-112942Wysokie
launch-editor-middleware przed wersją 2.14.2 nieprawidłowo przetwarza kontrolowany przez atakującego argument pliku Windows kończący się składnikiem katalogu nadrzędnego oraz sufiksem linii i kolumny. Ścieżka jest rozwiązywana z sufiksem, a następnie sufiks jest usuwany przed sprawdzeniem existsSync, co pozwala ominąć walidację istnienia pliku. W połączeniu z osobną luką rozwijania procentów w Windows może prowadzić do wstrzyknięcia poleceń systemowych.
- CVE-2024-52011Wysokie
Podatność w bibliotece launch-editor (używanej przez Vite) przed wersją 2.9.0 pozwala na wykonanie dowolnych poleceń w systemie Windows. Problem wynika z niedostatecznego oczyszczania argumentu `file` w funkcji `launchEditor`, co umożliwia atakującemu wstrzyknięcie specjalnych znaków.
Oryginalny opis (angielski, źródło NVD)
launch-editor allows users to open files with line numbers in editor from Node.js. Prior to 2.14.2, when an attacker can create a filesystem entry beginning with plus or minus in the working directory, an affected editor is selected, and the path can remain relative or is converted to a relative WSL path, launchEditor forwards the path without forcing it to be interpreted as a positional filename. Editor option parsing then treats the attacker-controlled filename as a command-line flag, which can cause unintended file overwrite or arbitrary command execution by the selected editor. The affected editors are Vim and gVim, MacVim, Emacs and Emacsclient, and Notepad++ when a plugin exposes dangerous operations; WSL path conversion keeps Vite and newer middleware callers exposed. This issue is fixed in version 2.14.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS