CVE-2026-42307
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
Edytor Vim przed wersją 9.2.0383 zawiera lukę w standardowej wtyczce netrw, która umożliwia wstrzyknięcie komend systemu operacyjnego poprzez otwarcie spreparowanego URL (np. sftp:// lub file://). Atak wymaga interakcji użytkownika.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia systemowe na koncie użytkownika Vima, co może prowadzić do przejęcia systemu.
Rekomendacja
Zaktualizuj Vim do wersji 9.2.0383 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Vim is an open source, command line text editor. Prior to version 9.2.0383, an OS command injection vulnerability exists in the netrw standard plugin bundled with Vim. By inducing a user to open a crafted URL (e.g., using the sftp:// or file:// protocol handlers), an attacker can execute arbitrary shell commands with the privileges of the Vim process. This issue has been patched in version 9.2.0383.