CVE-2026-57453
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W Vimie od wersji 9.1.1784 do 9.2.0678, wbudowany plugin zip (autoload/zip.vim) podczas korzystania z PowerShell do przeglądania, odczytu, wyodrębniania, aktualizacji lub usuwania wpisów w archiwum zip, buduje polecenie PowerShell, w którym nazwy wpisów archiwum są cytowane tylko dla powłoki, a nie dla PowerShell. Specjalnie spreparowana nazwa wpisu może wyrwać się z zamierzonego kontekstu ciągu znaków i spowodować wykonanie dowolnych poleceń PowerShell z uprawnieniami użytkownika uruchamiającego Vima, co jest wyzwalane przez otwarcie, wyświetlenie lub wyodrębnienie archiwum.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu na komputerze ofiary, jeśli ta otworzy lub wyodrębni spreparowane archiwum zip w Vimie, co może prowadzić do przejęcia kontroli nad systemem lub kradzieży danych.
Rekomendacja
Należy niezwłocznie zaktualizować Vima do wersji 9.2.0678 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Powiązane podatności
- CVE-2026-87855Krytyczne
Wtyczka JTL-Connector dla WooCommerce do wersji 2.4.3 włącznie jest podatna na dowolne przesyłanie plików przez funkcję saveImage(). Wynika to z akceptowania pustego parametru jtlauth jako prawidłowego poświadczenia oraz niewystarczającej walidacji typów plików w handleImagePush(). Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-104800Krytyczne
Wtyczka AGE-GATE dla WordPressa do wersji 1.0 włącznie jest podatna na zdalne wykonanie kodu przez parametry 'width' i 'height'. Wynika to z braku uwierzytelniania, kontroli uprawnień i weryfikacji nonce na samodzielnym punkcie końcowym admin.php, a także z niesanityzowanego wstrzykiwania parametrów POST bezpośrednio do generowanego kodu PHP zapisywanego do dołączanego pliku. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze.
- CVE-2026-97668Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na wstrzyknięcie SQL przez trwałą wartość meta_value koszyka gościa. Wynika to z niewystarczającego escapowania danych użytkownika i braku przygotowania zapytania SQL w funkcji update_guest_persistent_cart(). Wartość abandoned_cart_info, pochodząca z pól kontrolowanych przez atakującego, jest konkatenowana bezpośrednio do instrukcji UPDATE. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowego SQL do zapytania, co może prowadzić do ekstrakcji danych i eskalacji uprawnień.
- CVE-2026-97657Krytyczne
Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na ominięcie uwierzytelniania przez plastyczne szyfrowanie i możliwy do ominięcia HMAC. Wynika to z użycia szyfrowania AES-CTR bez MAC dla tokenów linków odzyskiwania koszyka, gdzie nonce jest przenoszony w ciphertext, a klucz jest wyszukiwany na podstawie parametru user_email, oraz z warunkowego sprawdzania HMAC, które można ominąć przez pominięcie parametru wcap_nonce. Umożliwia to nieuwierzytelnionym atakującym, posiadającym jeden prawidłowy link, sfałszowanie ciphertextu i przejęcie konta dowolnego użytkownika, który kiedykolwiek porzucił koszyk, w tym administratora.
- CVE-2026-110447Krytyczne
Collabora Online Built-in CODE Server przed wersją 26.4.303 (richdocumentscode), aplikacja Nextcloud, umożliwia zdalne wykonanie kodu, wykorzystywane w środowisku naturalnym we wrześniu i październiku 2026. Jest to wstrzyknięcie poleceń systemu operacyjnego w proxy.php, gdy serwer CODE nie działa. Podatność nie występuje w samodzielnych serwerach Collabora Online.
- CVE-2026-110002Krytyczne
Wtyczka Snazzy Social Media Feed dla WordPressa do wersji 2.5 włącznie jest podatna na dowolne przesyłanie plików przez funkcję (file scope). Wynika to z braku bootstrapu WordPressa, uwierzytelniania, uprawnień i kontroli nonce w samodzielnym skrypcie save-to-cache.php, a także z niewystarczającej sanityzacji parametru pluginURL przed zapisem do wykonywalnego pliku PHP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-93388Krytyczne
Wtyczka Printcart Store (PCDesigner / NB Designer) dla WooCommerce do wersji 2.9.1 włącznie jest podatna na nieuwierzytelnione dowolne przesyłanie plików prowadzące do zdalnego wykonania kodu. Akcja AJAX nbdesigner_copy_image_from_url jest zarejestrowana dla niezalogowanych wywołań, a jej gałąź Google Drive odtwarza nazwę pliku docelowego z surowego parametru gapi[name], omijając listę dozwolonych rozszerzeń, i zapisuje pobrane bajty do katalogu dostępnego z sieci. Umożliwia to nieuwierzytelnionym atakującym zapisanie pliku .php w lokalizacji wykonywalnej i wykonanie dowolnego kodu na serwerze.
- CVE-2026-92097Krytyczne
Wtyczka Click to Chat for WhatsApp dla WordPressa do wersji 4.44 włącznie jest podatna na dowolne wykonanie shortcode'ów. Wynika to z funkcji greetings_dialog(), która buduje placeholder {url} z filtrowanego $_SERVER['REQUEST_URI'] na stronach archiwum, a następnie przekazuje podstawioną treść do do_shortcode() w szablonach greetings-1 i greetings-2, bez usuwania ograniczników shortcode. Umożliwia to nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów zarejestrowanych przez WordPress, motyw lub inne wtyczki.
- CVE-2026-110392Krytyczne
Niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu systemu operacyjnego (wstrzyknięcie poleceń) w Samsung Open Source QA-Board umożliwia wstrzyknięcie poleceń systemu operacyjnego.
- CVE-2026-97381Krytyczne
Legacy Update to narzędzie do aktywacji i instalowania aktualizacji na starszych komputerach z Windows. W wersjach od 1.12.0 do 1.13.1 występuje błąd walidacji pochodzenia w metodzie IsPermitted kontrolki ActiveX. Po odczytaniu nazwy hosta dokumentu hostującego nazwa hosta spoza listy dozwolonych nie ustawia E_ACCESSDENIED, przez co IsPermitted zwraca S_OK. Atakujący, który nakłoni użytkownika do odwiedzenia złośliwej strony w Internet Explorerze, może wywołać kontrolkę, aby wyliczyć informacje o aktualizacjach i systemie, zainstalować aktualizacje bez zgody, wyświetlić okna dialogowe lub ponownie uruchomić komputer, gdy oczekuje na restart. Problem naprawiono w Legacy Update 1.13.2.
Oryginalny opis (angielski, źródło NVD)
Vim is an open source, command line text editor. From 9.1.1784 until 9.2.0678, when the bundled zip plugin autoload/zip.vim falls back to PowerShell to browse, read, extract, update or delete entries in a zip archive, it builds the PowerShell command by inserting archive entry names that are quoted only for the shell, not for PowerShell. A crafted entry name can break out of the intended string context and cause PowerShell to execute arbitrary commands with the privileges of the user running Vim, triggered by opening, viewing or extracting the archive. This vulnerability is fixed in 9.2.0678.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS